morpheuslord/cloudgMapea, grafica y audita AWS, Azure y GCP desde una sola CLI. Construye un grafo de topología, ejecuta Prowler/Checkov/Trivy, etiqueta los hallazgos según 28 marcos de cumplimiento y exporta informes HTML, ontologías RDF, fragmentos RAG y archivos de recreación de Terraform.
cloudg (cloud graphing) mapea la infraestructura de AWS, Azure y GCP en un grafo,
ejecuta escáneres de seguridad sobre el mismo inventario y convierte los resultados en informes que realmente puedes usar.
Un solo comando recopila activos de todos los proveedores configurados en paralelo, los introduce en un grafo de NetworkX para el análisis de alcanzabilidad y rutas de ataque, los distribuye a Prowler, ScoutSuite, Checkov y Trivy, y luego fusiona y deduplica todos los hallazgos frente a 28 marcos de cumplimiento. Al final se obtienen un informe HTML interactivo, GraphML, una ontología RDF, fragmentos RAG para pipelines de LLM y archivos Terraform que recrean la infraestructura en vivo.
¿Necesitas el mapa sin las herramientas de seguridad? cloudg map es un mapeador de inventario independiente de los escáneres: recopila en profundidad todo lo desplegado (o lo predeterminado) en una cuenta, hasta el tejido de red, rastrea todos los servicios para el resto y lo enlaza todo en un único mapa de activos que puedes superponer más tarde con los hallazgos de los escáneres. Consulta Mapeo de inventario.
¿Quieres que un agente de IA trabaje con todo ello? cloudg mcp serve convierte cloudg en un servidor MCP para Claude Desktop, Claude Code, Cursor o cualquier otra cosa que hable el Model Context Protocol. Consulta Servidor MCP.
Documentación completa: el manual renderizado está en morpheuslord.github.io/cloudg, con el mismo contenido en markdown en la referencia de funcionalidades y las notas de la versión en el changelog. El mapeador de inventario tiene sus propios documentos detallados: la referencia de inventario (cada estructura de retorno y archivo de salida, campo por campo), el catálogo de inventario (los 156 tipos de activos, sus metadatos y relaciones) y las tripas del inventario (cómo funciona y cómo ampliarlo). El servidor MCP se cubre en la guía MCP, la referencia de herramientas y la referencia de privacidad, y la limitación de velocidad en límites de tasa y limitación.
Informe de ejemplo: para ver qué produce cloudg antes de ejecutar nada, abre el informe de ejemplo. Es el report.html de un entorno sintético de AWS, Azure y GCP, por lo que todos los ID que contiene son inventados, y scripts/build_sample_report.py lo reconstruye a partir de los fixtures de prueba.
git clone https://github.com/morpheuslord/cloudg.git
cd cloudg
uv venv && source .venv/bin/activate
uv pip install -e ".[all,dev]"
# one provider, one region
cloudg run -p aws --regions us-east-1
# everything, everywhere
cloudg run -p all --regions all
# with Terraform recreation files
cloudg run -p aws --regions us-east-1 --terraform
Los informes se guardan en ./reports. Abre primero report.html.
¿Ya ejecutaste los escáneres por tu cuenta? En su lugar, proporciona a cloudg sus archivos de salida nativos. Sin credenciales de la nube, sin binarios de escáneres:
cloudg ingest --prowler ./prowler-output/ --checkov ./results_json.json --trivy ./trivy.json
Cualquier combinación de salidas de Prowler, ScoutSuite, Checkov y Trivy funciona; cloudg normaliza, deduplica entre escáneres mediante los conjuntos de reglas de equivalencia de comprobaciones, mapea marcos de cumplimiento y genera los informes.
En CI, cloudg gate hace fallar el trabajo ante hallazgos de severidad igual o superior a un umbral y escribe SARIF para el escaneo de código. En GitHub, el repositorio funciona además como una action que instala cloudg y los escáneres, ejecuta el pipeline y lo somete a la compuerta:
permissions:
contents: read
id-token: write # OIDC login to the cloud
security-events: write # SARIF upload
steps:
- uses: aws-actions/configure-aws-credentials@v6
with:
role-to-assume: arn:aws:iam::123456789012:role/cloudg-github
aws-region: us-east-1
- uses: morpheuslord/[email protected]
with:
provider: aws
fail-on: critical
min-assets: "1"
La guía de CI y automatización contiene todas las entradas, los inicios de sesión de Azure y GCP, GitLab CI y una versión de shell simple.
pip simple también funciona: pip install -e ".[all]". Los SDK de la nube son extras, por lo que pip install cloudg[aws] solo descarga boto3/aioboto3, [azure] y [gcp] hacen lo mismo con sus SDK, y [all] instala todo. El paquete principal sin extras sigue proporcionando el motor de grafos, la ontología, el normalizador y los renderizadores de informes.
Los escáneres externos (Prowler, Checkov, Trivy, ScoutSuite) son ejecutables independientes, no dependencias de Python. install.sh (Linux/macOS) e install.bat (Windows) configuran todo, incluidos los escáneres y las CLI de la nube.
Docker es la vía perezosa: la imagen incluye Prowler, Checkov y Trivy (ScoutSuite no está incluido, así que ejecútalo por separado y pasa su informe a cloudg ingest):
docker build -t cloudg:latest .
docker compose run --rm cloudg run -p aws --regions us-east-1
cloudg map responde a una pregunta distinta de cloudg run: qué existe y cómo está interconectado. Descubrir qué está mal sigue siendo tarea de los escáneres, y ninguno de ellos se ejecuta aquí ni siquiera necesita estar instalado. Lo que hace que el mapa sea completo: