awslabs/aws-security-assessment-solutionUn outil AWS pour vous aider à créer une évaluation ponctuelle de votre compte AWS à l'aide de Prowler.
## Solutions d'évaluation de sécurité en libre-service (v2.0)<!-- omit from toc -->
La cybersécurité reste un sujet très important et une source de préoccupation pour de nombreux DSI, RSSI et leurs clients. Pour répondre à ces préoccupations majeures, AWS a développé un ensemble de services principaux que les clients doivent utiliser pour contribuer à protéger leurs comptes. [Amazon GuardDuty](https://aws.amazon.com/guardduty/), [AWS Security Hub](https://aws.amazon.com/security-hub/), [AWS Config](https://aws.amazon.com/config/) et les revues [AWS Well-Architected](https://aws.amazon.com/architecture/well-architected/?wa-lens-whitepapers.sort-by=item.additionalFields.sortDate&wa-lens-whitepapers.sort-order=desc&wa-guidance-whitepapers.sort-by=item.additionalFields.sortDate&wa-guidance-whitepapers.sort-order=desc) aident les clients à maintenir une posture de sécurité solide sur leurs comptes AWS. À mesure que davantage d'organisations déploient dans le cloud, en particulier si elles le font rapidement, et qu'elles n'ont pas encore mis en œuvre les services AWS recommandés, il peut être nécessaire de réaliser une évaluation de sécurité rapide de l'environnement cloud.
Nous avons développé une solution peu coûteuse, facile à déployer, sécurisée et rapide pour fournir à nos clients un rapport d'évaluation de sécurité. Ces rapports sont générés à l'aide du projet open source [Prowler](https://github.com/prowler-cloud/prowler). Prowler effectue une évaluation de sécurité ponctuelle basée sur les bonnes pratiques AWS et peut aider à identifier rapidement les zones de risque potentielles dans l'environnement déployé d'un client. Si vous souhaitez réaliser ces évaluations de manière continue, AWS recommande d'activer la [norme Foundational Security Best Practices](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-standards-fsbp.html) de Security Hub. Si vous souhaitez intégrer vos résultats d'évaluation Prowler à Security Hub, vous pouvez suivre les instructions de la [documentation Prowler](https://docs.prowler.cloud/en/latest/tutorials/aws/securityhub/).
>Remarque : Prowler n'est pas une solution détenue par AWS. Les clients doivent examiner Prowler de manière indépendante avant d'exécuter cette solution. Toutes les dépendances associées à Prowler doivent être maintenues à jour. Cette solution installe une version épinglée de Prowler (actuellement 5.41.0) depuis l'installateur de paquets pip, afin qu'un changement du format de sortie de Prowler ne puisse pas casser un scan sans avertissement. Pour passer à une version plus récente, modifiez la ligne `pip3 install prowler==` dans `2-sat2-codebuild-prowler.yaml`.
📕 Pour des instructions détaillées étape par étape, consultez le module 2 du [SHIP Workshop](https://catalog.us-east-1.prod.workshops.aws/workshops/3bd6e4da-265a-4c79-ab47-639b7ef23c9d/en-US/20-satv2).
## Table des matières<!-- omit from toc -->
- [Vue d'ensemble](#overview)
- [Paramètres](#parameters)
- [Déploiement](#deployment)
- [Scan d'un seul compte](#single-account-scan)
- [AWS CloudShell](#aws-cloudshell)
- [Déployer la solution](#deploy-the-solution)
- [Console AWS](#aws-console)
- [Déployer la solution](#deploy-the-solution-1)
- [Scan multi-comptes](#multi-account-scan)
- [AWS CloudShell](#aws-cloudshell-1)
- [Étape 1 : Déployer le rôle prérequis](#step-1-deploy-prerequisite-role)
- [Étape 2 : Déployer la solution SATv2](#step-2-deploy-the-satv2-solution)
- [Console AWS](#aws-console-1)
- [Étape 1 : Déployer le rôle prérequis](#step-1-deploy-prerequisite-role-1)
- [Étape 2 : Activer l'administrateur délégué pour AWS Organizations](#step-2-enable-delegated-administrator-for-aws-organizations)
- [Étape 3 : Déployer la solution SATv2](#step-3-deploy-the-satv2-solution)
- [Consulter les résultats](#review-the-results)
- [Tableau de bord SATv2 (recommandé)](#satv2-dashboard-recommended)
- [Tableau de bord Prowler](#prowler-dashboard)
- [Types de scan](#scan-types)
- [Scan de base](#basic-scan)
- [Scan intermédiaire](#intermediate-scan)
- [Scan complet](#full-scan)
- [Vérifications des secrets](#secrets-checks)
- [Notifications](#notifications)
- [Résumé des rapports](#reporting-summary)
- [Comment la table Athena est construite](#how-the-athena-table-is-built)
- [Historique des scans et doublons](#scan-history-and-duplicates)
- [Foire aux questions (FAQ)](#frequently-asked-questions-faq)
- [Nettoyage](#clean-up)
- [Sécurité](#security)
- [Licence](#license)
## Vue d'ensemble
La solution est déployée avec [AWS CloudFormation](https://aws.amazon.com/cloudformation/). Lors du déploiement, un projet [AWS CodeBuild](https://aws.amazon.com/codebuild/) et un bucket [Amazon S3](https://aws.amazon.com/s3/) pour stocker les rapports générés par Prowler sont créés. Une fonction [AWS Lambda](https://aws.amazon.com/lambda/) est ensuite utilisée pour démarrer le projet AWS CodeBuild.
Les valeurs par défaut des paramètres (saisie utilisateur) exécuteront un scan de base sur un seul compte. Cependant, vous pouvez choisir différents paramètres pour exécuter des scans plus étendus ou pour scanner plusieurs comptes. Le processus de déploiement prend moins de 5 minutes. Les modèles AWS CloudFormation de la solution sont fournis pour examen dans ce dépôt Github.
Une fois le modèle déployé, le projet CodeBuild s'exécutera. L'évaluation par défaut prend environ 5 minutes. Le temps nécessaire pour terminer une évaluation de sécurité varie en fonction du nombre de ressources et des options de scan sélectionnées. À la fin des évaluations, les rapports sont livrés dans le bucket S3 créé.
## Paramètres
SATv2 peut être personnalisé en mettant à jour les paramètres CloudFormation. Cette section résume les options disponibles et fournit un lien vers la section contenant plus d'informations.
| Paramètre | Description | Plus d'informations |
| ------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------- |
| ProwlerScanType | Spécifiez le type de scan à effectuer. Sélectionner full sans spécifier différentes ProwlerOptions effectuera un scan complet. Pour effectuer une vérification spécifique, choisissez Full et ajoutez -c <check> à ProwlerOptions. | [Types de scan](#scan-types) |
| ExcludeSecretsChecks | Valeur par défaut true, ce qui ignore les vérifications Prowler qui recherchent des secrets codés en dur dans le contenu des ressources. Définissez sur false pour les exécuter. | [Vérifications des secrets](#secrets-checks) |
| MultiAccountScan | Définissez ce paramètre sur true si vous souhaitez scanner tous les comptes de votre organisation. Vous devez avoir déployé le modèle prérequis pour provisionner un rôle, ou spécifier un ProwlerRole différent avec les permissions appropriées. | [Scan multi-comptes](#multi-account-scan) |
| Reporting | Définissez ce paramètre sur true si vous souhaitez résumer les rapports Prowler dans un seul csv. Cela est utile lors du scan de plusieurs comptes. | [Résumé des rapports](#reporting-summary) |
| EmailAddress | Spécifiez une adresse si vous souhaitez recevoir un e-mail lorsque l'évaluation est terminée. | [Notifications](#notifications) |
| **Paramètres avancés** |
| ConcurrentAccountScans | Pour les scans multi-comptes, spécifiez le nombre de comptes à scanner simultanément. Cela est utile pour les grandes organisations comptant de nombreux comptes. Sélectionner plus de trois modifie la taille de l'instance CodeBuild et peut entraîner des coûts supplémentaires. |
| CodeBuildTimeout | Définissez le délai d'expiration de la tâche CodeBuild. La valeur par défaut est de 300 minutes (5 heures). |
| MultiAccountListOverride | Spécifiez une liste de comptes à scanner séparés par des espaces. Laisser ce champ vide scannera tous les comptes de votre organisation. Assurez-vous d'avoir défini le paramètre `MultiAccountScan` ci-dessus sur true si vous souhaitez scanner des comptes spécifiques. Si vous ne pouvez pas fournir un accès délégué ListAccount, vous pouvez fournir le paramètre MultiAccountListOverride. | [Scan multi-comptes](#multi-account-scan) |
| ProwlerOptions | Spécifiez les paramètres pour Prowler. Le --role et l'ARN seront automatiquement ajoutés à la fin des paramètres que vous spécifiez. Cela peut également être utilisé pour spécifier une seule vérification. | [Scan complet](#full-scan) |
| ProwlerRole | Le rôle que Prowler doit assumer pour effectuer le scan. Modifiez ceci si vous souhaitez spécifier votre propre rôle avec des permissions différentes. |
## Déploiement
Vous pouvez utiliser ce projet pour exécuter Prowler sur plusieurs comptes d'une organisation AWS, ou sur un seul compte. Nous fournissons des instructions pour utiliser AWS CloudShell ou la console AWS. Choisissez une option pour commencer.
| Type de déploiement | AWS CloudShell | Console AWS |
| --------------- | ------------------------- | ---------------------- |
| Compte unique | [Lien](#aws-cloudshell) | [Lien](#aws-console) |
| Multi-comptes | [Lien](#aws-cloudshell-1) | [Lien](#aws-console-1) |
## Scan d'un seul compte
Pour exécuter la solution d'évaluation de sécurité en libre-service (SATv2) sur un seul compte, suivez les instructions ci-dessous. Vous pouvez choisir d'utiliser l'AWS CLI ou la console AWS.
### AWS CloudShell
<details>
<summary>Afficher les étapes</summary>
#### Déployer la solution
1. Connectez-vous à votre compte AWS.
2. Dans la barre de navigation, choisissez [AWS CloudShell](https://console.aws.amazon.com/cloudshell/home).
3. Pour télécharger le modèle CloudFormation, saisissez la commande suivante.
```bash
wget https://raw.githubusercontent.com/awslabs/aws-security-assessment-solution/main/2-sat2-codebuild-prowler.yaml
```
4. Pour créer un bucket S3 afin de préparer le modèle, saisissez les commandes suivantes. Le modèle dépasse 51 200 octets, CloudFormation exige donc qu'il soit téléversé vers S3 plutôt que transmis en ligne.
```bash
TEMPLATE_BUCKET=sat2-cfn-templates-$(aws sts get-caller-identity --query Account --output text)-$AWS_REGION
aws s3 mb s3://$TEMPLATE_BUCKET --region $AWS_REGION
```
5. Pour déployer le modèle CloudFormation, saisissez la commande suivante. L'option `--s3-bucket` téléverse le modèle vers le bucket avant de créer la pile.
```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2 \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET
```
6. Une fois la pile créée, vous pouvez supprimer le bucket de préparation. Il n'est utilisé que pour transmettre le modèle à CloudFormation.
```bash
aws s3 rb s3://$TEMPLATE_BUCKET --force
```
</details>
### Console AWS
<details>
<summary>Afficher les étapes</summary>
#### Déployer la solution
1. Téléchargez le modèle CloudFormation [2-sat2-codebuild-prowler.yaml](https://github.com/awslabs/aws-security-assessment-solution/blob/main/2-sat2-codebuild-prowler.yaml).
2. Accédez à la [console AWS CloudFormation](https://console.aws.amazon.com/cloudformation).
3. Dans le volet de navigation, choisissez **Stacks**.
4. Choisissez **Create stack**.
5. Sous Specify template, sélectionnez **Upload a template file**.
6. Choisissez **2-sat2-codebuild-prowler.yaml** que vous avez téléchargé à l'étape 1.
7. Choisissez **Next**.
8. Pour Stack name, saisissez **sat2**.
9. Choisissez **Next**.
10. Sur la page Configure stack options, choisissez **Next**.
11. Sur la page Review SAS, cochez la case **I acknowledge that AWS CloudFormation might create IAM resources.** et choisissez **Submit**.
</details>
## Scan multi-comptes
La solution d'évaluation de sécurité en libre-service (SAT) prend également en charge les scans multi-comptes. Vous devez déployer un rôle prérequis sur chaque compte sur lequel vous souhaitez effectuer le scan. Pour exécuter SATv2 sur plusieurs comptes, suivez les instructions ci-dessous. Vous pouvez choisir d'utiliser l'AWS CLI ou la console AWS.
Ces instructions supposent que vous disposez déjà des prérequis pour les opérations de stack set. Pour plus d'informations, consultez le [Guide de l'utilisateur AWS CloudFormation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-prereqs.html).
>Remarque : Les StackSets ne s'appliquent pas au compte de gestion. Pour évaluer le compte de gestion, déployez le 1-sat2-member-role en tant que pile CloudFormation.
### AWS CloudShell
<details>
<summary>Afficher les étapes</summary>
#### Étape 1 : Déployer le rôle prérequis
1. Connectez-vous à votre compte AWS Management.
2. Dans la barre de navigation, choisissez [AWS CloudShell](https://console.aws.amazon.com/cloudshell/home).
3. Identifiez le compte à partir duquel vous exécuterez le scan Prowler. Les clients utilisent généralement un compte d'outillage de sécurité ou un compte d'audit. Notez l'ID du compte pour le paramètre **ProwlerAccountID**.
4. Pour télécharger le modèle CloudFormation, saisissez la commande suivante.
```bash
wget https://raw.githubusercontent.com/awslabs/aws-security-assessment-solution/main/1-sat2-member-roles.yaml
```
5. Déployez le modèle CloudFormation via CloudFormation StackSets. Mettez à jour les paramètres suivants :
- Remplacez **\<aws-account-id\>** par l'ID du compte à partir duquel vous exécuterez Prowler.
- Remplacez **\<region\>** par la région dans laquelle vous souhaitez déployer le modèle.
```bash
aws cloudformation create-stack-set --template-body file://1-sat2-member-roles.yaml \
--stack-set-name sat2-member-roles \
--permission-model SERVICE_MANAGED \
--auto-deployment Enabled=true,RetainStacksOnAccountRemoval=false \
--capabilities CAPABILITY_NAMED_IAM \
--parameters ParameterKey=ProwlerAccountID,ParameterValue=<aws-account-id> \
--region <region>
```
6. Utilisez la commande suivante pour créer des instances de pile pour chaque compte de votre organisation. Vous pouvez cibler une OU spécifique, ou l'OU racine. Mettez à jour les paramètres suivants :
- Remplacez **\<root-ou\>** par l'[ID racine de l'organisation](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org_details.html#orgs_view_root).
- Remplacez **\<region\>** par la région dans laquelle vous souhaitez déployer le modèle.
```bash
aws cloudformation create-stack-instances --stack-set-name sat2-member-roles \
--deployment-targets OrganizationalUnitIds='["<root-ou>"]' \
--regions '["<region>"]' \
--operation-preferences FailureTolerancePercentage=100,MaxConcurrentPercentage=100 \
--region <region>
```
7. Déterminez si vous disposez d'un administrateur délégué ou d'une politique de ressources qui existe déjà pour votre compte Prowler. Une seule option est nécessaire et la politique de ressources est encouragée car elle est plus granulaire.
>Remarque : Les politiques de ressources ne sont pas disponibles dans GovCloud, vous devrez donc utiliser un administrateur délégué.
7a. Votre compte Prowler peut déjà avoir une délégation. Vous pouvez utiliser les commandes suivantes pour vérifier :
```bash
aws organizations list-delegated-administrators
```
7b. Votre compte Prowler peut déjà avoir une politique de ressources. Vous pouvez utiliser les commandes suivantes pour vérifier :
```bash
aws organizations describe-resource-policy
```
8. Si vous n'avez pas d'administrateur délégué ni de politique de ressources, vous pouvez utiliser les commandes suivantes pour ajouter l'accès approprié.
>Remarque : Si vous ne pouvez pas fournir un accès délégué ListAccount, vous pouvez fournir le paramètre MultiAccountListOverride dans le `2-sat2-codebuild-prowler template`.
>Remarque : Si vous utilisez GovCloud, utilisez l'étape 8a pour créer un administrateur délégué. Si vous utilisez une région commerciale, utilisez l'étape 8b pour fournir un accès au moindre privilège à ListAccounts.
8a. Utilisez la commande suivante pour déléguer un administrateur si vous n'en avez pas déjà un. Remplacez **\<aws-account-id\>** par l'ID du compte à partir duquel vous exécuterez Prowler.
```bash
aws organizations register-delegated-administrator <aws-account-id>
```
8b. Utilisez les commandes suivantes pour ajouter une politique de ressources.
- Remplacez **\<aws-account-id\>** par l'ID du compte à partir duquel vous exécuterez Prowler.
```bash
aws organizations put-resource-policy --content \
'{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::<aws-account-id>:root"
},
"Action": [
"organizations:ListAccounts",
"organizations:DescribeAccount",
"organizations:ListTagsForResource",
"organizations:ListParents",
"organizations:DescribeOrganizationalUnit"
],
"Resource": "*"
}
]
}'
```
>Remarque : `ListParents` et `DescribeOrganizationalUnit` sont ce qui remplit les colonnes `account_ou_uid` et `account_ou_name` dans les résultats. Omettez-les et le reste du scan fonctionne toujours, mais ces deux colonnes reviennent vides.
#### Étape 2 : Déployer la solution SATv2
>Remarque : Assurez-vous d'avoir basculé vers le compte que vous avez spécifié pour exécuter Prowler.
1. Pour télécharger le modèle, ouvrez AWS CloudShell dans le **compte Prowler** et saisissez la commande suivante.
```bash
wget https://raw.githubusercontent.com/awslabs/aws-security-assessment-solution/main/2-sat2-codebuild-prowler.yaml
```
2. Pour créer un bucket S3 afin de préparer le modèle, saisissez les commandes suivantes. Le modèle dépasse 51 200 octets, CloudFormation exige donc qu'il soit téléversé vers S3 plutôt que transmis en ligne.
```bash
TEMPLATE_BUCKET=sat2-cfn-templates-$(aws sts get-caller-identity --query Account --output text)-$AWS_REGION
aws s3 mb s3://$TEMPLATE_BUCKET --region $AWS_REGION
```
3. Pour déployer le modèle dans le compte Prowler. Définissez **MultiAccountScan** sur **true** pour scanner tous les comptes de votre organisation. L'option `--s3-bucket` téléverse le modèle vers le bucket avant de créer la pile.
```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2-prowler \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET \
--parameter-overrides MultiAccountScan=true
```
4. Une fois la pile créée, vous pouvez supprimer le bucket de préparation. Il n'est utilisé que pour transmettre le modèle à CloudFormation.
```bash
aws s3 rb s3://$TEMPLATE_BUCKET --force
```
</details>
### Console AWS
<details>
<summary>Afficher les étapes</summary>#### Étape 1 : Déployer le rôle prérequis
1. Téléchargez les fichiers **1-sat2-member-roles.yaml** et **2-sat2-codebuild-prowler.yaml**.
2. Déployez le modèle CloudFormation via CloudFormation StackSets. Mettez à jour les paramètres suivants :
- Remplacez \<aws-account-id\> par l'ID du compte depuis lequel vous exécuterez Prowler.
- Remplacez \<region\> par la région dans laquelle vous souhaitez déployer le modèle.
3. Accédez à la [console AWS CloudFormation](https://console.aws.amazon.com/cloudformation).
4. Dans le volet de navigation, choisissez **StackSets**.
5. Choisissez **Create StackSet**.
6. Pour Permissions, laissez **Service-managed permissions** sélectionné.
7. Sous Specify template, sélectionnez **Upload a template file**.
8. Choisissez **1-sat2-member-roles.yaml** que vous avez téléchargé à l'étape 1-1.
9. Choisissez **Next**.
10. Pour Stack name, saisissez **sat2-member-role**.
11. Pour Parameters, saisissez les éléments suivants :
- ProwlerAccountID - L'ID du compte depuis lequel vous exécuterez Prowler.
12. Choisissez **Next**.
13. Sur la page Configure StackSet options, choisissez **Next**.
14. Sur la page Set deployment options, saisissez les éléments suivants :
1. Pour **Deployment targets**, laissez **Deploy to organization** sélectionné.
2. Pour **Specify regions**, choisissez **us-east-1**.
3. Pour **Region Concurrency**, choisissez **Parallel**.
15. Choisissez **Next**.
16. Sur la page **Review**, cochez la case **I acknowledge that AWS CloudFormation might create IAM resources.** et choisissez **Submit**.
#### Étape 2 : Activer l'administrateur délégué pour AWS Organizations
Déterminez si vous disposez d'un administrateur délégué ou d'une politique de ressources qui existe déjà pour le compte dans lequel vous souhaitez déployer Prowler. Il est recommandé d'exécuter Prowler depuis votre compte d'outillage de sécurité (Audit). Pour mettre à jour ou vérifier que le compte d'audit dispose des autorisations nécessaires pour ListAccounts, suivez ces étapes.
1. Accédez à la [console AWS Organization](https://console.aws.amazon.com/organizations).
2. Dans le volet de navigation, choisissez **Settings**.
3. Pour Delegated administrator for AWS Organizations, incluez l'instruction suivante.
```json
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::<aws-account-id>:root"
},
"Action": [
"organizations:ListAccounts",
"organizations:DescribeAccount",
"organizations:ListTagsForResource",
"organizations:ListParents",
"organizations:DescribeOrganizationalUnit"
],
"Resource": "*"
}
]
}
```
>Remarque : `ListParents` et `DescribeOrganizationalUnit` sont ce qui remplit les colonnes `account_ou_uid` et `account_ou_name` dans les résultats. Omettez-les et le reste du scan fonctionne toujours, mais ces deux colonnes reviennent vides.
#### Étape 3 : Déployer la solution SATv2
1. Accédez à la [console AWS CloudFormation](https://console.aws.amazon.com/cloudformation) dans le compte depuis lequel vous exécuterez l'outil (ProwlerAccountID).
2. Dans le volet de navigation, choisissez **Stacks**.
3. Choisissez **Create stack**.
4. Sous Specify template, sélectionnez **Upload a template file**.
5. Choisissez **2-sat2-codebuild-prowler.yaml** que vous avez téléchargé à l'étape 1-1.
6. Choisissez **Next**.
7. Pour Stack name, saisissez **sat2-prowler**.
8. Dans la section Parameters, pour **MultiAccountScan**, sélectionnez **true**.
9. Vous pouvez éventuellement activer le reporting pour obtenir un résumé de tous les comptes dans un seul fichier csv. Pour **Reporting**, sélectionnez **true**.
10. Choisissez **Next**.
11. Sur la page Configure stack options, choisissez **Next**.
12. Sur la page Review SAS, cochez la case **I acknowledge that AWS CloudFormation might create IAM resources.** et choisissez **Submit**.
</details>
## Consulter les résultats
Une fois la solution déployée, une fonction Lambda démarre le projet CodeBuild. Une fois la compilation du projet CodeBuild terminée, les résultats de Prowler seront téléversés dans le bucket Amazon S3 créé. Si vous avez configuré les [notifications](#notifications), vous recevrez un e-mail lorsque le scan Prowler sera terminé. Si vous avez configuré le [reporting](#reporting-summary), vous disposerez d'un fichier csv consolidé dans le dossier /reports.
Si vous n'avez pas configuré d'alertes e-mail, vous pouvez suivre la progression depuis la [console CodeBuild](https://console.aws.amazon.com/codesuite/codebuild/projects).
Pour consulter les résultats, suivez ces étapes.
1. Accédez à la console Amazon S3 dans le compte où vous avez déployé Prowler.
2. Sélectionnez le bucket qui commence par **sat2-prowler-prowlerfindingsbucket-**
3. Choisissez le dossier correspondant au format de sortie souhaité, puis les dossiers `scan_date=` et `scan_time=` pour l'exécution que vous souhaitez consulter.
Chaque format de sortie dispose de son propre dossier de premier niveau, et chaque exécution écrit dans un sous-dossier `scan_date=YYYY-MM-DD/scan_time=HHMMSS` en dessous. L'heure correspond à l'heure UTC à laquelle le scan a démarré :
```
csv/scan_date=2026-09-01/scan_time=204955/ Prowler's CSV findings, as written
html/scan_date=2026-09-01/scan_time=204955/ per-account HTML reports
json/scan_date=2026-09-01/scan_time=204955/ per-account JSON
ocsf-json/scan_date=2026-09-01/scan_time=204955/ per-account OCSF JSON
parquet/scan_date=2026-09-01/scan_time=204955/ the copy Athena queries
compliance/scan_date=2026-09-01/scan_time=204955/ compliance CSVs, when produced
reports/ consolidated CSV and dashboard
```
Chaque exécution dispose de son propre dossier, ainsi relancer la solution ne mélange jamais les nouveaux résultats avec les anciens, y compris lorsque vous l'exécutez plusieurs fois le même jour. Les exécutions précédentes sont conservées afin que vous puissiez les comparer.
4. Pour chaque compte, il y aura 4 types de fichiers (csv, html, json, json-ocsf) au format `prowler-output-<aws-account-id>-<datetime>`.
5. Sélectionnez l'un des objets html.
6. Choisissez **Open**.
7. Une nouvelle fenêtre s'ouvrira avec votre rapport. Vous pouvez utiliser les filtres pour identifier et prioriser les résultats.
### Tableau de bord SATv2 (recommandé)
Si vous avez activé le reporting, un tableau de bord html statique se trouvera dans le dossier reporting.
1. Sélectionnez l'objet **satv2-dashboard.html**, choisissez **Open**.
2. Sélectionnez le csv consolidé, choisissez **Actions**, **Share with a presigned URL**.
>Remarque : Ne partagez votre URL présignée avec personne. Une URL présignée utilise des identifiants de sécurité pour accorder une autorisation à durée limitée de télécharger des objets. L'URL peut être saisie dans un navigateur ou utilisée par un programme pour télécharger l'objet. Les identifiants utilisés par l'URL présignée sont ceux de l'utilisateur AWS qui a généré l'URL. Pour plus d'informations, consultez Sharing objects with presigned URLs.
3. Pour **number of minutes**, saisissez **1**.
4. Collez l'URL dans la page satv2-dashboard.html.
5. Consultez un exemple de sortie de tableau de bord dans [img/satv2-dashboard.png](https://github.com/awslabs/aws-security-assessment-solution/blob/main/img/satv2-dashboard.png)
### Tableau de bord Prowler
Prowler dispose d'un tableau de bord intégré pour consulter les résultats. Pour utiliser le tableau de bord Prowler, Prowler doit être installé localement et vous devez télécharger les résultats de Prowler localement.
Vous devez disposer de l'interface de ligne de commande AWS (CLI) et d'identifiants valides. Pour plus d'informations, consultez le [guide d'utilisation de l'interface de ligne de commande AWS](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html).
1. Installez Prowler. Pour plus d'informations, consultez les [instructions d'installation de Prowler](https://docs.prowler.com/projects/prowler-open-source/en/latest/#installation).
```
pip install prowler
```
2. Récupérez le nom du bucket Amazon S3. Le nom du bucket se trouve dans la console CloudFormation en tant que ressource ProwlerFindingsBucket. Vous pouvez également accéder à la console S3 et rechercher un bucket au format `{stack_name}-prowlerfindingsbucket-{ID}`
3. Téléchargez les CSV et les données de conformité depuis S3. Si vous n'avez pas exécuté un scan complet, vous n'aurez peut-être pas de données de conformité. Remplacez `{bucket_name}` par le nom de votre bucket, et `{scan_date}` et `{scan_time}` par l'exécution que vous souhaitez charger, par exemple `2026-09-01` et `204955`. Pour lister les exécutions disponibles, utilisez `aws s3 ls s3://{bucket_name}/csv/scan_date={scan_date}/`.
```
aws s3 sync s3://{bucket_name}/compliance/scan_date={scan_date}/scan_time={scan_time}/ output/compliance/
aws s3 sync s3://{bucket_name}/csv/scan_date={scan_date}/scan_time={scan_time}/ output/
```
>Remarque : Synchronisez une exécution à la fois. Le tableau de bord Prowler lit `output/*.csv` et ne parcourt pas les sous-dossiers, donc copier les dossiers `scan_date=` eux-mêmes dans `output/` produira un tableau de bord vide. Charger deux exécutions à la fois afficherait chaque résultat en double.
4. Lancez le tableau de bord. Utilisez la commande suivante pour lancer le tableau de bord. Par défaut, il démarrera sur http://127.0.0.1:11666/.
```
prowler dashboard
```
## Types de scan
Par défaut, SAT2 exécutera un scan intermédiaire, qui exécute toutes les vérifications de gravité critique et élevée. Vous pouvez choisir d'exécuter un scan basique ou complet en choisissant une valeur différente pour le paramètre ProwlerScanType.
Par exemple, un scan d'un seul compte utilisant l'option de scan intermédiaire utiliserait cette commande :```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2-prowler \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET \
---
[Read more](https://github.com/awslabs/aws-security-assessment-solution)