likithmanoj/nhi-risk-analyzerDescubre, evalúa riesgos y remedia identidades no humanas en AWS, Azure y GCP mediante análisis sin conexión basado en reglas, detección de escalada de privilegios y contención de límites de permisos.
Una plataforma de automatización de seguridad de nivel empresarial y con enfoque offline-first que descubre, inventaría, analiza, evalúa riesgos y remedia de forma segura Identidades No Humanas (NHI) — entidades de servicio, cuentas de servicio, roles de máquina, claves de acceso y credenciales — en AWS, Azure y Google Cloud Platform (GCP).
⭐️ Si encuentras útil esta herramienta para auditar y proteger Identidades No Humanas en múltiples nubes, ¡considera darle una estrella al repositorio!
| Proveedor de Nube | Tipos de Identidad Cubiertos | Motor de Descubrimiento | Inspección de Secretos / Credenciales | Reglas Activas | Estado |
|---|---|---|---|---|---|
| 🟧 AWS | Roles IAM, Usuarios de Máquina, Grupos, Políticas | Boto3 + Caché de Sesión | Claves de Acceso (CreateDate, LastUsed) | 13 Reglas (AWS_01–16, TAG_01) | ✅ Soportado |
| 🟦 Azure | Entidades de Servicio de Entra ID, Registros de Aplicaciones, Identidades Administradas | REST Puro (Graph y ARM) | Secretos de Cliente (passwordCredentials), Certificados (keyCredentials) | 5 Reglas (AZURE_01–05) | ✅ Soportado |
| 🟥 GCP | Cuentas de Servicio, Identidad de Carga de Trabajo, Roles IAM | REST Puro (IAM y Resource Mgr) | Claves de Cuenta de Servicio (validAfterTime, gestionadas por el usuario) | 6 Reglas (GCP_01–06) | ✅ Soportado |
🧪 Estado del Conjunto de Pruebas: 102 aprobadas, 4 subpruebas aprobadas (100% VERDE) en todos los proveedores y motores.
NHI Risk Analyzer aborda un desafío crítico de seguridad multi-cloud: los entornos cloud empresariales modernos acumulan cientos de identidades de máquina y no humanas (cuentas de servicio, roles de automatización, credenciales de CI/CD, roles de confianza entre nubes) con una visibilidad mínima sobre qué identidades tienen privilegios excesivos, están inactivas o introducen riesgo de escalada de privilegios.
La plataforma aplica un desacoplamiento arquitectónico estricto en tres fases distintas:
inventory.json mediante mecanismos ligeros y nativos de la nube (Boto3 con caché de sesión para AWS; REST puro sin dependencias para Azure y GCP).Los entornos multi-cloud empresariales contienen rutinariamente identidades no humanas que son:
NHI Risk Analyzer automatiza el descubrimiento, el análisis de seguridad y la remediación dirigida en proveedores cloud usando APIs de nube y procesamiento de reglas offline.
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ AWS IAM │ │ Azure Entra │ │ GCP IAM │
│ (Boto3) │ │ (Pure REST) │ │ (Pure REST) │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
│ │ │
└────────────────┐ │ ┌────────────────┘
▼ ▼ ▼
┌───────────────────────────┐
│ inventory.py │
│ (Multi-Cloud Collector) │
└─────────────┬─────────────┘
▼
┌───────────────────────────┐
│ inventory.json │
│ (Unified State Snapshot) │
└─────────────┬─────────────┘
│
▼
┌───────────────────────────┐
│ risk.py │
│ (--cloud Orchestrator) │
└─────────────┬─────────────┘
│
┌────────────────────────┼────────────────────────┐
▼ ▼ ▼
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ aws.py sub- │ │ azure.py sub-│ │ gcp.py sub- │
│ runner │ │ runner │ │ runner │
│ (13 Rules) │ │ (5 Rules) │ │ (6 Rules) │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
└────────────────────────┼────────────────────────┘
▼
┌───────────────────────────┐
│ dispatch.py │
│ (Containment Dispatcher) │
└─────────────┬─────────────┘
│
┌────────────────────────┴────────────────────────┐
▼ ▼
┌─────────────────────────┐ ┌─────────────────────┐
│ policy_surgery.py & │ │ credential.py │
│ policy.py (Boundaries) │ │ (Deactivate Key) │
└─────────────────────────┘ └─────────────────────┘