aws-perimeter

• Análisis de grupos de seguridad (SSH/RDP abiertos, puertos de bases de datos)
• Detección de exposición pública y riesgos de puertos de administración
• Análisis de ACL de red y auditoría de VPC Flow Log
• Riesgos de emparejamiento de VPC, detección de bastion hosts
• Estado de NAT Gateway y cobertura de VPC endpoints

Seguridad de IAM

• Detección de escalada de privilegios (17 patrones)
• Credenciales obsoletas (más de 90 días)
• Análisis de confianza entre cuentas
• Brechas en la aplicación de MFA
• Políticas demasiado permisivas (*:*)
• Encadenamiento de roles, ID externo, límites de permisos

Seguridad de S3

• Detección de buckets públicos
• Auditoría de cifrado y políticas de bucket riesgosas
• Estado de bloqueo de acceso público
• Descubrimiento de archivos/objetos sensibles (.env, .git, credenciales)
• Detección de secretos en contenido de texto profundo en objetos S3

CloudTrail y registro

• Brechas en la cobertura de trails y registro multirregión
• Estado de validación de registros
• Integración con CloudWatch Logs

Detección de secretos

• Variables de entorno de Lambda (10 patrones de secretos)
• Escaneo de paquetes de despliegue (ZIP) de Lambda
• Escaneo de datos de usuario de EC2
• Escaneo de contenido de objetos S3 públicos
• Escaneo de capas de imágenes ECR en busca de credenciales incrustadas
• Claves de AWS, tokens de GitHub/Slack/Stripe

Seguridad de contenedores (NUEVO)

Seguridad ECS (10 verificaciones)

• Contenedores privilegiados
• Secretos en variables de entorno
• Exposición de IP pública
• Modo de red del host
• Imágenes no registradas en ECR
• Sistema de archivos raíz editable
• Capacidades peligrosas de Linux
• ECS Exec habilitado
• Estado de Container Insights
• Rol de tarea de administrador

Seguridad EKS (12 verificaciones)

• Acceso a endpoint público
• Endpoint privado deshabilitado
• Registro del plano de control
• Cifrado de secretos
• Versión de Kubernetes
• Proveedor OIDC para IRSA
• Modos de autenticación heredados
• Nodos en subredes públicas
• Acceso SSH sin restricciones
• Rol IAM de nodo a nivel de administrador
• Tipo de AMI (preferencia por Bottlerocket)

Detección de ataques de IA (NUEVO)

Basado en inteligencia de amenazas de febrero de 2025: violación de AWS en 8 minutos

• Monitoreo de instancias GPU: Detección de instancias p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1
• Exposición pública de GPU: Instancias GPU con IPs públicas
• Riesgo IMDSv1 en GPU: Instancias GPU vulnerables a robo de credenciales
• Abuso de Bedrock: Detección de rendimiento aprovisionado de alta capacidad
• Modelos personalizados: Entrenamiento no autorizado de modelos Bedrock
• Registro de Bedrock: Falta de registro de invocación de modelos
• Aprovisionamiento rápido: Detección de limitación de API EC2 (patrón de ataque)

Resumen de verificaciones de seguridad

Verificaciones de seguridad críticas

Prerrequisitos

1. AWS CLI instalado

2. Credenciales AWS configuradas

3. Permisos IAM requeridos

Sus credenciales AWS deben tener acceso de solo lectura a los servicios que se escanean. La política administrada ReadOnlyAccess de AWS funciona, o consulte Permisos requeridos más abajo.

Nota: aws-perimeter solo realiza operaciones de lectura y nunca modifica sus recursos AWS.

Instalación

Instalación rápida (macOS/Linux)

Usando Go

Uso

Para modos de fanout (--regions, --all-regions, --org-scan) con --output html --output-file ..., aws-perimeter escribe un informe por unidad de escaneo con sufijos de región/cuenta y marca de tiempo (por ejemplo security-report-us-east-1-20260210-213045.html o security-report-123456789012-us-east-1-20260210-213045.html). En modo HTML, la salida de tabla de terminal se suprime y solo se imprimen líneas de resumen concisas.

Modo de automatización JSON

Cuando se usa --output json, aws-perimeter emite un único documento JSON válido sin ruido de banner/spinner, por lo que es seguro para pipelines.

La carga útil JSON multirregión incluye:

• summary (total_regions, success, failed, skipped)
• results (cargas útiles de escaneo consolidadas por región)
• failures (región + detalles del error cuando falla un escaneo de región)

Salida de resumen de fanout

Para escaneos multirregión y de organización en modos de salida que no son JSON, aws-perimeter imprime un resumen consolidado al final de la ejecución:

• Filas por unidad de escaneo con account_id, account_name, region, status, duration y error.
• Totales agregados (TOTAL, SUCCESS, FAILED, SKIPPED).
• Tabla de resumen a nivel de cuenta para escaneos de organización (conteos de éxito/fallo/salto por cuenta).

--max-parallel y --best-effort

• --max-parallel controla cuántas unidades de escaneo de región/cuenta se ejecutan concurrentemente en modos de fanout (--regions, --all-regions, --org-scan).
• Valores más altos aceleran los escaneos pero aumentan la presión de API y la posibilidad de limitación/contensión de red.
• Punto de inicio recomendado: --max-parallel 3 o --max-parallel 4.
• --best-effort se aplica a escaneos multirregión: el comando sale con éxito (0) cuando al menos una región tiene éxito, incluso si algunas fallan.
• Sin --best-effort, cualquier región fallida devuelve un código de salida distinto de cero.
• En la salida JSON multirregión, las regiones fallidas aparecen bajo failures con el error exacto.

Banderas

Permisos IAM requeridos

Se requieren los siguientes permisos para la cobertura completa de características (incluyendo escaneo multirregión y de organización):

kms:Decrypt solo se requiere al escanear objetos/paquetes cifrados (por ejemplo, lecturas de objetos S3 SSE-KMS). En producción, limite esto a las claves KMS necesarias.

Para --org-scan, la entidad principal de gestión debe tener permiso para asumir un rol de cuenta miembro (por defecto: OrganizationAccountAccessRole), por ejemplo:

La política de confianza del rol de la cuenta miembro también debe permitir que su entidad principal de escaneo (usuario/rol) lo asuma (e incluya la condición sts:ExternalId si usa --external-id).

Consejo: Para un inicio rápido, adjunte la política administrada arn:aws:iam::aws:policy/ReadOnlyAccess a su usuario/rol IAM.

Hoja de ruta

Fase 3: Detección avanzada de amenazas

• Modelado de amenazas STRIDE
• Análisis de rutas de ataque
• Detección de exfiltración de datos
• Indicadores de criptominería

Fase 4: Funcionalidades empresariales

• Soporte para cuentas múltiples (Organizations)
• Integración con CI/CD
• Exportación a SIEM (Splunk, ELK)
• Tendencias históricas

Resumen

Licencia

Apache License 2.0