Advertencia: CNAPPgoat despliega entornos vulnerables. Úsalo solo dentro de entornos de pruebas seguros y controlados.

Primeros pasos

CNAPPgoat funciona como una herramienta de interfaz de línea de comandos (CLI), capaz de desplegar entornos vulnerables en una multitud de proveedores de servicios en la nube. Construido con Go y utilizando Pulumi y la API de automatización de Pulumi, garantiza un despliegue fluido del entorno. Una de sus características únicas es su diseño modular, que permite una extensión sencilla para admitir una variedad de proveedores de servicios en la nube y nuevos entornos vulnerables. Por el momento, CNAPPgoat es compatible con AWS, Azure y GCP.

Requisitos previos para ejecutar CNAPPgoat

• Pulumi
• SDKs de nube para el proveedor de nube que estés utilizando:
  • AWS CLI
  • Azure CLI
  • Google Cloud SDK

Las dependencias y plugins de Pulumi se instalarán bajo demanda según los requisitos de cada escenario cuando aprovisiones tu primer entorno. Esto significa que la primera vez que aprovisiones podría tardar un poco más que las siguientes.

Instalación

Homebrew

CNAPPgoat se puede instalar fácilmente para usuarios de macOS mediante el gestor de paquetes Homebrew.

Descarga directa del release para macOS, Linux y macOS.

1. Descarga la última versión desde aquí.

   root@kitploit:~

   tar -xvf cnappgoat-<version>.tar.gz
   cd cnappgoat-<version>
   

2. (Opcional) Si deseas agregar el binario extraído al PATH de tu sistema (no es obligatorio, puedes ejecutarlo desde el directorio local como ./cnappgoat):

Opción A: Mover a un directorio en tu PATH (p. ej., /usr/local/bin para macOS y Linux)

Opción B: Agregar el directorio que contiene el binario a tu PATH

Para bash:

Para zsh:

Reemplaza <ruta_al_directorio_que_contiene_cnappgoat> con la ruta absoluta al directorio donde reside el binario cnappgoat.

Uso

Puedes usar múltiples argumentos separados por espacios. Por ejemplo:

Banderas:

• --module - Filtra escenarios por módulo (p. ej., CSPM, CIEM, CWPP, DSPM, KSPM, etc.)
• --platform - Filtra escenarios por plataforma (p. ej., AWS, Azure, GCP)
• --force - Activa el modo forzado (desbloquea stacks bloqueados con pulumi cancel)
• --debug - Activa el registro de depuración.

Estas banderas son banderas de comando y deben colocarse después del comando. Por ejemplo:

Este comando aprovisionará todos los escenarios CSPM de AWS.

Escenarios de CNAPPgoat

CNAPPgoat descarga escenarios del repositorio cnappgoat-scenarios en su primera ejecución del día. Estos escenarios se descargan automáticamente cuando ejecutas CNAPPgoat y se almacenan en el directorio ~/.cnappgoat/scenarios.

Configuración

Antes de poder usar CNAPPgoat, debes configurar tus credenciales de nube para AWS, Azure y GCP. CNAPPgoat utiliza las credenciales predeterminadas de cada proveedor. Sigue los pasos a continuación para configurar tus credenciales:

Credenciales de AWS

1. Instala la AWS CLI siguiendo las instrucciones aquí.

2. Configura tus credenciales de AWS ejecutando:

   root@kitploit:~

   aws configure
   

   Se te pedirá que ingreses tu Access Key ID, Secret Access Key y la región predeterminada.

Credenciales de Azure

1. Instala la Azure CLI siguiendo las instrucciones aquí.

2. Inicia sesión en tu cuenta de Azure ejecutando:

   root@kitploit:~

   az login
   

   Esto abrirá una nueva ventana del navegador para que inicies sesión. Después de iniciar sesión, tus credenciales se almacenarán para uso futuro.

Credenciales de GCP

1. Instala el Google Cloud SDK siguiendo las instrucciones aquí.

2. Autentícate con Google Cloud ejecutando:

   root@kitploit:~

   gcloud auth login
   

   Esto abrirá una nueva ventana del navegador para que inicies sesión. Después de iniciar sesión, tus credenciales se almacenarán para uso futuro.

Al configurar estas credenciales, podrás desplegar escenarios en AWS, Azure y GCP usando CNAPPgoat. Si planeas usar CNAPPgoat con un proveedor diferente, asegúrate de configurar las credenciales en consecuencia.

Más información

Para obtener más información sobre CNAPPgoat, consulta el artículo en el blog de Ermetic: https://ermetic.com/blog/cloud/cnappgoat-multicloud-open-source-tool-for-deploying-vulnerable-by-design-cloud-resources/

Agradecimientos

Proyectos similares

CNAPPgoat aprovisiona una variedad de escenarios vulnerables en múltiples nubes para probar capacidades de detección y prevención. Existen otros grandes proyectos para entornos de nube vulnerables que se centran en diferentes áreas, como explotación, detección, escenarios CTF (captura la bandera), etc. Nos inspiramos en estas herramientas y proyectos, y recomendamos echarles un vistazo:

• Stratus Red Team de DataDog: una herramienta que permite a los usuarios emular técnicas de ataque ofensivas de manera granular y autocontenida
• Cloud Goat de Rhino Security Labs: una herramienta de despliegue en AWS "Vulnerable por diseño". Te permite perfeccionar tus habilidades de ciberseguridad en la nube creando y completando varios escenarios de estilo "captura la bandera"
• Kubernetes Goat de Madhu Akula: un entorno de clúster intencionalmente vulnerable para aprender y practicar seguridad en Kubernetes
• TerraGoat de Bridgecrew: un repositorio de Terraform "Vulnerable por diseño"
• CloudFoxable de BishopFox: un sandbox de hacking en la nube gamificado

Se pueden encontrar más desafíos y herramientas en el repositorio Awesome Cloud Security Challenges de Mike Privitte; nuestra lista se centra específicamente en entornos de nube vulnerables por diseño que los usuarios despliegan en su propio sandbox.

Contacto

Para escribir al equipo del proyecto, contacta a [email protected]

Aviso legal

• CNAPPgoat se proporciona "tal cual" y sin ninguna garantía ni soporte.
• Esta es una versión beta. El proyecto aún está en desarrollo, por lo que pedimos disculpas por cualquier inconveniente. Publicaremos una versión estable en las próximas semanas.