nuvola

nuvola (con la n minúscula) es una herramienta para volcar y realizar análisis de seguridad automáticos y manuales sobre configuraciones y servicios de entornos AWS, utilizando reglas predefinidas, extensibles y personalizadas creadas con una sintaxis YAML simple.

La idea general detrás de este proyecto es crear un gemelo digital abstracto de una plataforma en la nube. Para un ejemplo más concreto: nuvola refleja las características de BloodHound utilizadas para el análisis de Active Directory, pero en entornos de nube (por ahora solo AWS).

El uso de una base de datos de grafos también aumenta la posibilidad de encontrar diferentes y novedosas rutas de ataque, y puede usarse como un gemelo digital offline, centralizado y ligero.

Inicio Rápido

Requisitos

• docker-compose instalado
• una cuenta de AWS configurada para usarse con awscli con acceso completo a los recursos de la nube, mejor si está en modo ReadOnly (la política arn:aws:iam::aws:policy/ReadOnlyAccess es suficiente)

Configuración

1. Clona el repositorio

git clone --depth=1 https://github.com/primait/nuvola.git; cd nuvola

2. Crea y edita, si es necesario, el archivo .env para establecer tu usuario/contraseña/URL de la base de datos

cp .env_example .env;

Puede que necesites editar el tamaño de la memoria asignada a Neo4j si ejecutas la herramienta en un dispositivo con poca RAM.

3. Inicia la instancia de Docker de Neo4j

make start-containers

4. Construye la herramienta

make build

Uso

1. Primero necesitas volcar todas las configuraciones de los servicios AWS soportados y cargar los datos en la base de datos Neo4j:

./nuvola dump --aws-profile default_RO --output-dir ~/DumpDumpFolder --output-format zip

2. Para importar una operación de volcado previamente ejecutada en la base de datos Neo4j:

./nuvola assess --import ~/DumpDumpFolder/nuvola-default_RO_20220901.zip

3. Para realizar solo evaluaciones estáticas sobre los datos cargados en la base de datos Neo4j utilizando el conjunto de reglas predefinido:

./nuvola assess

4. O usa Neo4j Browser para explorar manualmente el gemelo digital.

Solución de problemas

Si usas el .env_example, las configuraciones de memoria de neo4j NEO4J_server_memory_* pueden ser demasiado grandes, lo que provoca que el contenedor docker se bloquee por falta de memoria en el sistema anfitrión. Eliminar las líneas NEO4J_server_memory_* hará que neo4j calcule esos valores según los recursos del sistema disponibles (ref).

Acerca de nuvola

Para empezar con nuvola y su esquema de base de datos, consulta la Wiki de nuvola.

No se envía ni comparte ningún dato con Prima Assicurazioni.

Cómo contribuir

• reportar errores y problemas
• reportar nuevas mejoras
• revisar problemas y solicitudes de extracción
• corregir errores y problemas
• crear nuevas reglas
• mejorar la calidad general

Presentaciones

• RomHack 2022

  • Diapositivas
  • Demostraciones

• DevSecCon 2024

  • Agenda
  • Video

Licencia

nuvola utiliza la teoría de grafos para revelar posibles rutas de ataque y configuraciones de seguridad incorrectas en entornos de nube.

Este programa es software libre: puedes redistribuirlo y/o modificarlo bajo los términos de la Licencia Pública General de GNU publicada por la Free Software Foundation, ya sea la versión 3 de la Licencia, o (a tu elección) cualquier versión posterior.

Este programa se distribuye con la esperanza de que sea útil, pero SIN NINGUNA GARANTÍA; sin siquiera la garantía implícita de COMERCIABILIDAD o IDONEIDAD PARA UN PROPÓSITO PARTICULAR. Consulta la Licencia Pública General de GNU para más detalles.

Deberías haber recibido una copia de la Licencia Pública General de GNU junto con este repositorio y programa. Si no es así, visita http://www.gnu.org/licenses/.