threatmap — Modélisateur de menaces IaC avec les frameworks STRIDE, MITRE ATT&CK et PASTA. Support pour REST API, GraphQL et Docker pour Terraform, CloudFormation et Kubernetes. | Kitploit

docker run -p 8000:8000 bogdynn/threatmap:2.1.0
# Point de terminaison GraphQL : http://localhost:8000/graphql
# Requêtes : health, version, rules
# Mutations : analyze(content, filename, framework)

# STRIDE (par défaut)
threatmap scan ./infra/ --framework stride

# MITRE ATT&CK (mappe vers tactiques et techniques)
threatmap scan ./infra/ --framework mitre --format json

# PASTA (modélisation des menaces centrée sur les actifs)
threatmap scan ./infra/ --framework pasta --format json

ID	Sévérité	Catégorie STRIDE	Ressource	Description
T-001	🔴 CRITIQUE	Divulgation d'informations	`AuditBucket`	Le bucket S3 'AuditBucket' n'a pas de bloc d'accès public configuré — le bucket peut être accessible publiquement.
T-002	🔴 CRITIQUE	Usurpation	`WebSecurityGroup`	Le groupe de sécurité 'WebSecurityGroup' expose SSH/RDP (port 22/3389) à 0.0.0.0/0.
T-003	🔴 CRITIQUE	Élévation de privilèges	`app_contributor`	L'attribution de rôle 'app_contributor' accorde le rôle privilégié 'Contributeur'.
T-006	🟠 HAUTE	Divulgation d'informations	`AuditBucket`	Le bucket S3 'AuditBucket' n'a pas de chiffrement côté serveur configuré.
T-008	🟠 HAUTE	Élévation de privilèges	`api`	Le conteneur 'api' dans le déploiement 'api' peut s'exécuter en tant que root (pas de runAsNonRoot=true ou runAsUser=0).
T-011	🟠 HAUTE	Élévation de privilèges	`web`	L'instance EC2 'web' autorise IMDSv1 — le service de métadonnées accessible sans jetons de session, permettant le vol d'identifiants basé sur SSRF.

### T-002 — Usurpation (CRITIQUE)

Ressource :   AWS::EC2::SecurityGroup.WebSecurityGroup
Propriété :   ingress.ssh_rdp_open
Constat :    Le groupe de sécurité 'WebSecurityGroup' expose SSH/RDP (port 22/3389) à 0.0.0.0/0.
Atténuation : Supprimer l'accès SSH/RDP public. Utiliser AWS Systems Manager Session Manager
              ou un bastion avec restrictions IP.

flowchart LR
    Internet((Internet))
    subgraph Mise en réseau
        aws_security_group_web_sg{web_sg}
        NetworkPolicy_default_deny{default-deny}
        azurerm_network_security_group_app_nsg{app_nsg}
    end
    subgraph Calcul
        aws_instance_web[web]
    end
    subgraph Kubernetes
        Namespace_myapp[myapp]
        Deployment_api[api]
        Service_api_svc[api-svc]
        Ingress_api_ingress[api-ingress]
    end
    subgraph Données
        aws_s3_bucket_app_data[(app_data)]
        aws_db_instance_app_db[(app_db)]
        azurerm_storage_account_app_storage[(app_storage)]
    end
    subgraph Sécurité
        azurerm_key_vault_app_kv[app_kv]
    end
    subgraph Identité
        azurerm_role_assignment_app_contributor[/app_contributor/]
    end
    AWS__S3__Bucket_AppBucket -->|ref| AWS__S3__Bucket_AuditBucket
    AWS__CloudTrail__Trail_AppTrail -->|ref| AWS__S3__Bucket_AuditBucket
    Internet -->|HTTPS| Ingress_api_ingress
    style aws_security_group_web_sg fill:#ff4444,color:#fff
    style aws_s3_bucket_app_data fill:#ff4444,color:#fff
    style aws_instance_web fill:#ff8800,color:#fff
    style Deployment_api fill:#ff8800,color:#fff
    style azurerm_key_vault_app_kv fill:#ffcc00,color:#000
    style azurerm_network_security_group_app_nsg fill:#ff8800,color:#fff
    style azurerm_role_assignment_app_contributor fill:#ff4444,color:#fff

rules:
  - resource_type: "aws_s3_bucket"
    property: "force_destroy"
    expected: false
    stride: "Falsification"
    severity: "MOYENNE"
    description: "Les buckets de production ne devraient pas avoir force_destroy activé."
    mitigation: "Définir force_destroy = false."

threatmap/analyzers/
├── aws.py         # 22 règles — S3, IAM, EC2, RDS, EKS, CloudTrail, KMS, Lambda
├── azure.py       # 19 règles — Stockage, Key Vault, NSG, RBAC, AKS, ACR, SQL
├── gcp.py         # 15 règles — GCS, Pare-feu, Compute, Cloud SQL, GKE, IAM, KMS
└── kubernetes.py  # 17 règles — charges de travail, RBAC, réseau, secrets

Sévérité	Signification
CRITIQUE	Exploitable directement sans pré-conditions supplémentaires (ex. SSH ouvert à 0.0.0.0/0, politique IAM wildcard, liaison cluster-admin à anonymous)
HAUTE	Risque significatif nécessitant une étape supplémentaire (ex. RDS non chiffré avec accès public, IMDSv1 sur une instance EC2)
MOYENNE	Contrôles de défense en profondeur manquants — risque immédiat plus faible mais viole les bases de sécurité (ex. pas de versioning, pas de journalisation, pas de limites de ressources)
BASSE	Écarts de bonnes pratiques avec une exploitabilité limitée isolément (ex. Lambda pas dans un VPC)

# .github/workflows/threat-model.yml
name: Modèle de menace

on: [pull_request]

jobs:
  threatmap:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Configurer Python
        uses: actions/setup-python@v5
        with:
          python-version: "3.11"

      - name: Installer threatmap
        run: pip install threatmap

      - name: Exécuter l'analyse du modèle de menace
        run: |
          threatmap scan ./infra/ \
            --format markdown \
            --output threat-report.md \
            --fail-on HIGH

      - name: Télécharger le rapport de menace
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: rapport-menace
          path: threat-report.md

Format	Fournisseur	Extension
Terraform HCL	AWS, Azure, GCP	`.tf`
CloudFormation	AWS	`.yaml`, `.yml`, `.json`
Manifests Kubernetes	Kubernetes	`.yaml`, `.yml`

Fournisseur	Règles
AWS (Terraform + CloudFormation)	22
Azure (Terraform)	19
GCP (Terraform)	15
Kubernetes	17
Total	73

Fournisseur	S	T	R	I	D	E
AWS	✓	✓	✓	✓	✓	✓
Azure	✓	✓	✓	✓	—	✓
GCP	✓	✓	✓	✓	—	✓
Kubernetes	✓	✓	—	✓	✓	✓

threatmap

Populaires

Démarrage rapide

Formats et fournisseurs pris en charge

Installation

Utilisation

Cadres de modélisation des menaces

Exemple de sortie de rapport

Tableau des menaces STRIDE

Détail de l'atténuation (extrait)

Diagramme de flux de données (Mermaid)

Fonctionnalités avancées (v2.1.0+)

Analyse de chemins d'attaque basée sur les graphes

Règles YAML personnalisées

Indications de correction

Architecture

Comment les sévérités sont attribuées

Comment les faux positifs sont évités

Intégration CI

Couverture des règles STRIDE

Développement

Contribution