Cloud Security Audit

Una herramienta de auditoría de seguridad de línea de comandos para Amazon Web Services

Acerca de

Cloud Security Audit es una herramienta de línea de comandos que escanea vulnerabilidades en tu cuenta de AWS. De manera sencilla podrás identificar partes inseguras de tu infraestructura y preparar tu cuenta de AWS para una auditoría de seguridad.

Instalación

Actualmente Cloud Security Audit no es compatible con ningún gestor de paquetes, pero el trabajo está en progreso.

Compilando desde el código fuente

Primero, descarga Cloud Security Audit en tu espacio de trabajo de GO:

$GOPATH $ go get github.com/Appliscale/cloud-security-audit
$GOPATH $ cd cloud-security-audit

Luego compila e instala la configuración para la aplicación dentro del directorio cloud-security-audit ejecutando:

cloud-security-audit $ make all

Uso

Inicializando sesión

Si usas MFA, debes indicarle a Cloud Security Audit que te autentique antes de intentar conectarte usando la opción --mfa. Ejemplo:

$ cloud-security-audit --service s3 --mfa --mfa-duration 3600

Escaneo de EC2

Cómo usar

Para realizar una auditoría en todas las instancias EC2, escribe:

$ cloud-security-audit --service ec2

Puedes limitar la auditoría a una región usando la opción -r o --region. Cloud Security Audit también es compatible con perfiles de AWS: para especificar un perfil usa la opción -p o --profile.

Ejemplo de salida

+---------------+---------------------+--------------------------------+-----------------------------------+----------+
| AVAILABILITY  |         EC2         |            VOLUMES             |             SECURITY              |          |
|               |                     |                                |                                   | EC2 TAGS |
|     ZONE      |                     |     (NONE) - NOT ENCRYPTED     |              GROUPS               |          |
|               |                     |                                |                                   |          |
|               |                     |    (DKMS) - ENCRYPTED WITH     |    (INCOMING CIDR = 0.0.0.0/0)    |          |
|               |                     |         DEFAULT KMSKEY         |                                   |          |
|               |                     |                                |       ID : PROTOCOL : PORT        |          |
+---------------+---------------------+--------------------------------+-----------------------------------+----------+
| eu-central-1a | i-0fa345j6756nb3v23 | vol-0a81288qjd188424d[DKMS]    | sg-aaaaaaaa : tcp : 22            | App:some |
|               |                     | vol-0c2834re8dfsd8sdf[NONE]    | sg-aaaaaaaa : tcp : 22            | Key:Val  |
+---------------+---------------------+--------------------------------+-----------------------------------+----------+

Cómo interpretarlo

1. La primera columna AVAILABILITY ZONE contiene información sobre dónde está ubicada la instancia.
2. La segunda columna EC2 contiene el ID de la instancia.
3. La tercera columna Volumes contiene los IDs de los volúmenes (discos virtuales) adjuntos a la EC2 dada. Significado de los sufijos:
   • [NONE] - Volumen no cifrado.
   • [DKMS] - Volumen cifrado usando la clave KMS predeterminada de AWS. Más información sobre KMS aquí.
4. La cuarta columna Security Groups contiene los IDs de los grupos de seguridad que tienen permisos demasiado abiertos, p. ej., el bloque CIDR es igual a 0.0.0.0/0 (abierto a todo el mundo).
5. La quinta columna EC2 TAGS contiene las etiquetas de una instancia EC2 dada para ayudarte a identificar el propósito de esta instancia.

Documentación

Puedes encontrar más información sobre el cifrado en la siguiente documentación:

1. https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSEncryption.html

Escaneo de S3

Cómo usar

Para realizar una auditoría en todos los buckets de S3, escribe:

$ cloud-security-audit --service s3

Cloud Security Audit es compatible con perfiles de AWS: para especificar un perfil usa la opción -p o --profile.

Ejemplo de salida

+------------------------------+---------+---------+-------------+------------+
|          BUCKET NAME         | DEFAULT | LOGGING |     ACL     |  POLICY    |
|                              |         |         |             |            |
|                              |   SSE   | ENABLED |  IS PUBLIC  | IS PUBLIC  |
|                              |         |         |             |            |
|                              |         |         |  R - READ   |  R - READ  |
|                              |         |         |             |            |
|                              |         |         |  W - WRITE  | W - WRITE  |
|                              |         |         |             |            |
|                              |         |         | D - DELETE  | D - DELETE |
+------------------------------+---------+---------+-------------+------------+
| bucket1                      | NONE    | true    | false       | false      |
+------------------------------+---------+---------+-------------+------------+
| bucket2                      | DKMS    | false   | false       | true [R]   |
+------------------------------+---------+---------+-------------+------------+
| bucket3                      | AES256  | false   | true [RWD]  | false      |
+--------------------------- --+---------+---------+-------------+------------+

Cómo interpretarlo