☁️ Smogcloud

Trouvez les actifs cloud AWS exposés que vous ne saviez pas posséder. Un inventaire complet des actifs est la première étape de tout programme de sécurité compétent. Nous avons créé smogcloud pour permettre aux ingénieurs en sécurité, aux testeurs d'intrusion et aux administrateurs AWS de surveiller plus fréquemment les changements collectifs qui créent des actifs dynamiques et éphémères exposés sur Internet. Peut être utile pour identifier :

• FQDN et IP exposés sur Internet sur un ou des centaines de comptes AWS
• Mauvaises configurations ou vulnérabilités
• Actifs qui ne sont plus utilisés
• Services non surveillés actuellement
• Shadow IT

🛠 Pour commencer

1. Installez et configurez golang

2. Installez smogcloud en utilisant la commande suivante

   root@kitploit:~

       go get -u github.com/BishopFox/smogcloud
   

3. Configurez les variables d'environnement AWS pour le compte que vous souhaitez interroger. Nous suggérons d'utiliser un rôle Security Auditor en lecture seule. Les commandes suivantes peuvent être utilisées pour définir les variables d'environnement :

   root@kitploit:~

   export AWS_ACCOUNT_ID=''            # Describe account
   export AWS_ACCESS_KEY_ID=''         # Access key for aws account
   export AWS_SECRET_ACCESS_KEY=''     # Secret key for aws account
   

4. Lancez l'application

   root@kitploit:~

   smogcloud
   

   or

   root@kitploit:~

   go run main.go
   

🕵️ Services actuels

Services pris en charge pour l'extraction des expositions Internet :

* API Gateway
* CloudFront
* EC2
* Elastic Kubernetes Service
* Elastic Beanstalk
* Elastic Search
* Elastic Load Balancing 
* IoT
* Lightsail
* MediaStore
* Relational Database Service
* Redshift
* Route53
* S3

🔎 Modèles AWS

En étudiant la documentation Open API sur les points de terminaison RESTful AWS, nous avons déterminé qu'il s'agit des modèles d'URI d'exposition que vous pouvez trouver dans les comptes AWS. Il est important de comprendre comment interagir avec ces services natifs pour les tester afin de détecter des vulnérabilités et d'autres mauvaises configurations. Les ingénieurs en sécurité peuvent vouloir surveiller les journaux CloudTrail ou mettre en place une surveillance DNS pour les requêtes vers ces services.

• s3
  • https://{user_provided}.s3.amazonaws.com
• cloudfront
  • https://{random_id}.cloudfront.net
• ec2
  • ec2-{ip-seperated}.compute-1.amazonaws.com
• es
  • https://{user_provided}-{random_id}.{region}.es.amazonaws.com
• elb
  • http://{user_provided}-{random_id}.{region}.elb.amazonaws.com:80
  • https://{user_provided}-{random_id}.{region}.elb.amazonaws.com:443
• elbv2
  • https://{user_provided}-{random_id}.{region}.elb.amazonaws.com
• rds
  • mysql://{user_provided}.{random_id}.{region}.rds.amazonaws.com:3306
  • postgres://{user_provided}.{random_id}.{region}.rds.amazonaws.com:5432
• route53
  • {user_provided}
• execute-api
  • https://{random_id}.execute-api.{region}.amazonaws.com/{user_provided}
• cloudsearch
  • https://doc-{user_provided}-{random_id}.{region}.cloudsearch.amazonaws.com
• transfer
  • sftp://s-{random_id}.server.transfer.{region}.amazonaws.com
• iot
  • mqtt://{random_id}.iot.{region}.amazonaws.com:8883
  • https://{random_id}.iot.{region}.amazonaws.com:8443
  • https://{random_id}.iot.{region}.amazonaws.com:443
• mq
  • https://b-{random_id}-{1,2}.mq.{region}.amazonaws.com:8162
  • ssl://b-{random_id}-{1,2}.mq.{region}.amazonaws.com:61617
• kafka
  • b-{1,2,3,4}.{user_provided}.{random_id}.c{1,2}.kafka.{region}.amazonaws.com
  • {user_provided}.{random_id}.c{1,2}.kafka.{region}.amazonaws.com
• cloud9
  • https://{random_id}.vfs.cloud9.{region}.amazonaws.com
• mediastore
  • https://{random_id}.data.mediastore.{region}.amazonaws.com.
• kinesisvideo
  • https://{random_id}.kinesisvideo.{region}.amazonaws.com
• mediaconvert
  • https://{random_id}.mediaconvert.{region}.amazonaws.com
• mediapackage
  • https://{random_id}.mediapackage.{region}.amazonaws.com/in/v1/{random_id}/channel

📌 Références

• AWS SDK Go
• API-guru Open API for AWS
• aws-cli

👨‍💻 Auteurs

• Oscar Salazar - Travail initial - Bishop Fox
• Rob Ragan - Travail initial - Bishop Fox 🐦 @sweepthatleg
• Brandon Gaudet - Travail initial - Bishop Fox

✨ Contributions

Nous faisons de notre mieux pour maintenir nos outils, mais nous ne pouvons pas toujours les maintenir aussi à jour que nous le souhaiterions. C'est pourquoi nous apprécions toujours les contributions de code, les demandes de fonctionnalités et les rapports de bogues.

📣 Remerciements

Merci pour l'inspiration

• Cloudmapper
• AWS Public IPs
• John Backes & Tiros
• IAM Access Analyzer
• Cartography

📄 Licence

Smogcloud est sous licence GPLv3, certains sous-composants ont des licences distinctes.