likithmanoj/nhi-risk-analyzerDécouvre, évalue les risques et remédie aux identités non humaines sur AWS, Azure et GCP grâce à une analyse hors ligne basée sur des règles, à la détection d'escalade de privilèges et au confinement par limites d'autorisations.
Une plateforme d'automatisation de la sécurité de niveau entreprise, priorisant le mode hors ligne, qui découvre, inventorie, analyse, évalue les risques et remédie de manière sécurisée aux Identités Non Humaines (NHI) — principaux de service, comptes de service, rôles machine, clés d'accès et identifiants — sur AWS, Azure et Google Cloud Platform (GCP).
⭐️ Si vous trouvez cet outil utile pour auditer et sécuriser les Identités Non Humaines sur l'ensemble des clouds, pensez à ajouter une étoile au dépôt !
| Fournisseur Cloud | Types d'Identités Couverts | Moteur de Découverte | Inspection des Secrets / Identifiants | Règles Actives | Statut |
|---|---|---|---|---|---|
| 🟧 AWS | Rôles IAM, Utilisateurs Machine, Groupes, Politiques | Boto3 + Mise en cache de session | Clés d'accès (CreateDate, LastUsed) | 13 Règles (AWS_01–16, TAG_01) | ✅ Pris en charge |
| 🟦 Azure | Principaux de Service Entra ID, Enregistrements d'Applications, Identités Managées | REST pur (Graph & ARM) | Secrets Clients (passwordCredentials), Certificats (keyCredentials) | 5 Règles (AZURE_01–05) | ✅ Pris en charge |
| 🟥 GCP | Comptes de Service, Workload Identity, Rôles IAM | REST pur (IAM & Resource Mgr) | Clés de Compte de Service (validAfterTime, gérées par l'utilisateur) | 6 Règles (GCP_01–06) | ✅ Pris en charge |
🧪 Statut de la Suite de Tests : 102 réussis, 4 sous-tests réussis (100 % VERT) sur l'ensemble des fournisseurs et moteurs.
NHI Risk Analyzer répond à un défi de sécurité multi-cloud critique : les environnements cloud d'entreprise modernes accumulent des centaines d'identités machine et non humaines (comptes de service, rôles d'automatisation, identifiants CI/CD, rôles de confiance inter-cloud) avec une visibilité minimale sur les identités qui sont sur-privilégiées, dormantes ou qui introduisent un risque d'escalade de privilèges.
La plateforme impose un découplage architectural strict en trois phases distinctes :
inventory.json via des mécanismes légers et natifs du cloud (Boto3 avec mise en cache de session pour AWS ; REST pur sans dépendance pour Azure et GCP).Les environnements multi-cloud d'entreprise contiennent régulièrement des identités non humaines qui sont :
NHI Risk Analyzer automatise la découverte, l'analyse de sécurité et la remédiation ciblée sur l'ensemble des fournisseurs cloud en utilisant les API cloud et le traitement de règles hors ligne.
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ AWS IAM │ │ Azure Entra │ │ GCP IAM │
│ (Boto3) │ │ (Pure REST) │ │ (Pure REST) │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
│ │ │
└────────────────┐ │ ┌────────────────┘
▼ ▼ ▼
┌───────────────────────────┐
│ inventory.py │
│ (Multi-Cloud Collector) │
└─────────────┬─────────────┘
▼
┌───────────────────────────┐
│ inventory.json │
│ (Unified State Snapshot) │
└─────────────┬─────────────┘
│
▼
┌───────────────────────────┐
│ risk.py │
│ (--cloud Orchestrator) │
└─────────────┬─────────────┘
│
┌────────────────────────┼────────────────────────┐
▼ ▼ ▼
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ aws.py sub- │ │ azure.py sub-│ │ gcp.py sub- │
│ runner │ │ runner │ │ runner │
│ (13 Rules) │ │ (5 Rules) │ │ (6 Rules) │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
└────────────────────────┼────────────────────────┘
▼
┌───────────────────────────┐
│ dispatch.py │
│ (Containment Dispatcher) │
└─────────────┬─────────────┘
│
┌────────────────────────┴────────────────────────┐
▼ ▼
┌─────────────────────────┐ ┌─────────────────────┐
│ policy_surgery.py & │ │ credential.py │
│ policy.py (Boundaries) │ │ (Deactivate Key) │
└─────────────────────────┘ └─────────────────────┘