CNAPPgoat

CNAPPgoat ist ein Multi-Cloud-Tool zur Bereitstellung bewusst verwundbarer Umgebungen – speziell entwickelt, um Übungsarenen für Verteidiger und Pentester zu schaffen. Seine Hauptfunktion besteht darin, absichtlich verwundbare Umgebungen über mehrere Cloud-Dienstanbieter hinweg bereitzustellen, um Ihre Fähigkeiten beim Ausnutzen, Erkennen und Verhindern solcher Schwachstellen zu schärfen.

Warnung: CNAPPgoat stellt verwundbare Umgebungen bereit. Verwenden Sie es nur in sicheren, kontrollierten Sandboxen.

Erste Schritte

CNAPPgoat fungiert als Kommandozeilentool (CLI), das verwundbare Umgebungen auf einer Vielzahl von Cloud-Dienstanbietern bereitstellen kann. Es wurde mit Go entwickelt und nutzt Pulumi sowie die Pulumi Automation API, um eine nahtlose Bereitstellung der Umgebungen zu gewährleisten. Eine seiner besonderen Eigenschaften ist das modulare Design, das eine mühelose Erweiterung zur Unterstützung weiterer Cloud-Dienstanbieter und neuer verwundbarer Umgebungen ermöglicht. Derzeit unterstützt CNAPPgoat AWS, Azure und GCP.

Voraussetzungen für die Ausführung von CNAPPgoat

• Pulumi
• Cloud-SDKs für den von Ihnen verwendeten Cloud-Anbieter:
  • AWS CLI
  • Azure CLI
  • Google Cloud SDK

Pulumi-Abhängigkeiten und -Plugins werden bei Bedarf gemäß den Anforderungen des jeweiligen Szenarios installiert, wenn Sie Ihre erste Umgebung bereitstellen. Das bedeutet, dass die erste Bereitstellung etwas länger dauern kann als nachfolgende.

Installation

Homebrew

CNAPPgoat kann für macOS-Nutzer ganz einfach mit dem Homebrew-Paketmanager installiert werden.

brew tap ermetic-research/cnappgoat
brew install cnappgoat

Download des Releases direkt für macOS, Linux und macOS.

1. Laden Sie das neueste Release von hier herunter.

   root@kitploit:~

   tar -xvf cnappgoat-<version>.tar.gz
   cd cnappgoat-<version>
   

2. (Optional) Wenn Sie das extrahierte Binärprogramm zum systemweiten PATH hinzufügen möchten (Sie müssen nicht, Sie können es auch einfach aus dem lokalen Verzeichnis als ./cnappgoat ausführen):

Option A: Verschieben in ein Verzeichnis im PATH (z. B. /usr/local/bin für macOS und Linux)

mv cnappgoat /usr/local/bin/

Option B: Das Verzeichnis mit dem Binärprogramm zum PATH hinzufügen

Für bash:

echo 'export PATH=$PATH:<path_to_directory_containing_cnappgoat>' >> ~/.bashrc
source ~/.bashrc

Für zsh:

echo 'export PATH=$PATH:<path_to_directory_containing_cnappgoat>' >> ~/.zshrc
source ~/.zshrc

Ersetzen Sie <path_to_directory_containing_cnappgoat> durch den absoluten Pfad zu dem Verzeichnis, in dem sich die cnappgoat-Binärdatei befindet.

Verwendung

NAME:
   cnappgoat - Ein Multi-Cloud-Open-Source-Tool zur Bereitstellung bewusst verwundbarer Cloud-Ressourcen

VERWENDUNG:
   cnappgoat [globale Optionen] Befehl [Befehlsoptionen] [Argumente...]

VERSION:
   0.1.0-beta, Datum: 2023-08-02T13:02:46Z, Commit: 6bef61857d9f3cf88215269df8976f96317711dc


BEFEHLE:
   clean      Alle erstellten Ressourcen bereinigen und entfernen sowie alle Szenarien und zugehörigen Dateien löschen
   describe   Ein Szenario beschreiben
   destroy    CNAPPgoat-Modul-Szenarien zerstören
   list       CNAPPgoat-Modul-Szenarien auflisten
   provision  CNAPPgoat-Modul-Szenarien bereitstellen
   help, h    Zeigt eine Liste der Befehle oder Hilfe zu einem Befehl an

GLOBALE OPTIONEN:
   --debug        Debug-Modus aktivieren (Standard: false)
   --help, -h     Hilfe anzeigen
   --version, -v  Version anzeigen

Sie können mehrere Argumente durch Leerzeichen getrennt verwenden. Zum Beispiel:

cnappgoat provision <Szenario-1> <Szenario-2> <Szenario-N>

Flags:

• --module - Filtert Szenarien nach Modul (z. B. CSPM, CIEM, CWPP, DSPM, KSPM usw.)
• --platform - Filtert Szenarien nach Plattform (z. B. AWS, Azure, GCP)
• --force - Aktiviert den forcierten Modus (entsperrt gesperrte Stacks mit pulumi cancel)
• --debug - Aktiviert Debug-Protokollierung.

Diese Flags sind Befehlsflags und sollten nach dem Befehl platziert werden. Zum Beispiel:

cnappgoat provision --module CSPM --platform AWS

Dieser Befehl stellt alle AWS-CSPM-Szenarien bereit.

CNAPPgoat-Szenarien

CNAPPgoat lädt Szenarien beim ersten Start eines jeden Tages aus dem Repository cnappgoat-scenarios herunter. Diese Szenarien werden automatisch heruntergeladen, wenn Sie CNAPPgoat ausführen, und im Verzeichnis ~/.cnappgoat/scenarios gespeichert.

Einrichtung und Konfiguration

Bevor Sie CNAPPgoat verwenden können, müssen Sie Ihre Cloud-Anmeldeinformationen für AWS, Azure und GCP konfigurieren. CNAPPgoat verwendet die Standard-Anmeldeinformationen für jeden Anbieter. Folgen Sie den nachstehenden Schritten, um Ihre Anmeldeinformationen einzurichten:

AWS-Anmeldeinformationen

1. Installieren Sie die AWS CLI gemäß der Anleitung hier.

2. Konfigurieren Sie Ihre AWS-Anmeldeinformationen durch Ausführen von:

   root@kitploit:~

   aws configure
   

   Sie werden aufgefordert, Ihre Access Key ID, Ihren Secret Access Key und die Standardregion einzugeben.

Azure-Anmeldeinformationen

1. Installieren Sie die Azure CLI gemäß der Anleitung hier.

2. Melden Sie sich bei Ihrem Azure-Konto an, indem Sie Folgendes ausführen:

   root@kitploit:~

   az login
   

   Dadurch wird ein neues Browserfenster für die Anmeldung geöffnet. Nach der Anmeldung werden Ihre Anmeldeinformationen für die zukünftige Verwendung gespeichert.

GCP-Anmeldeinformationen

1. Installieren Sie das Google Cloud SDK gemäß der Anleitung hier.

2. Authentifizieren Sie sich bei Google Cloud durch Ausführen von:

   root@kitploit:~

   gcloud auth login
   

   Dadurch wird ein neues Browserfenster für die Anmeldung geöffnet. Nach der Anmeldung werden Ihre Anmeldeinformationen für die zukünftige Verwendung gespeichert.

Durch die Einrichtung dieser Anmeldeinformationen können Sie mit CNAPPgoat Szenarien auf AWS, Azure und GCP bereitstellen. Wenn Sie CNAPPgoat mit einem anderen Anbieter verwenden möchten, konfigurieren Sie die Anmeldeinformationen bitte entsprechend.

Weitere Informationen

Weitere Informationen zu CNAPPgoat finden Sie im Beitrag im Ermetic-Blog: https://ermetic.com/blog/cloud/cnappgoat-multicloud-open-source-tool-for-deploying-vulnerable-by-design-cloud-resources/

Danksagungen

Ähnliche Projekte

CNAPPgoat stellt eine breite Palette verwundbarer Szenarien auf mehreren Clouds bereit, um Erkennungs- und Präventionsfähigkeiten zu testen. Es gibt andere großartige Projekte für verwundbare Cloud-Umgebungen, die sich auf verschiedene Bereiche konzentrieren, wie z. B. Ausnutzung, Erkennung, CTF (Capture the Flag)-Szenarien usw. Wir wurden von diesen Tools und Projekten inspiriert und empfehlen, sie sich anzusehen:

• Stratus Red Team by DataDog: ein Tool, das es Benutzern ermöglicht, offensive Angriffstechniken granular und in sich geschlossen zu emulieren
• Cloud Goat by Rhino Security Labs: ein "Vulnerable by Design"-AWS-Bereitstellungstool. Es ermöglicht Ihnen, Ihre Cloud-Cybersicherheitsfähigkeiten zu verbessern, indem Sie mehrere "Capture-the-Flag"-Szenarien erstellen und abschließen
• Kubernetes Goat by Madhu Akula: eine absichtlich verwundbare Cluster-Umgebung zum Erlernen und Üben von Kubernetes-Sicherheit
• TerraGoat by Bridgecrew: ein "Vulnerable by Design"-Terraform-Repository
• CloudFoxable by BishopFox: eine spielerische Cloud-Hacking-Sandbox

Weitere Herausforderungen und Tools finden Sie im Repository Awesome Cloud Security Challenges von Mike Privitte. Unsere Liste konzentriert sich speziell auf bewusst verwundbare Cloud-Umgebungen, die von Benutzern in ihrer eigenen Sandbox bereitgestellt werden.

Kontakt

Um das Projektteam per E-Mail zu kontaktieren, schreiben Sie an [email protected]

Haftungsausschluss

• CNAPPgoat wird "wie besehen" und ohne jegliche Garantie oder Support bereitgestellt.
• Dies ist eine Beta-Version. Das Projekt befindet sich noch in der Entwicklung, daher bitten wir um Verständnis für etwaige Startschwierigkeiten. Wir werden in den kommenden Wochen eine stabile Version veröffentlichen.