CNAPPgoat

CNAPPgoat est un outil de déploiement d'environnements volontairement vulnérables multi-cloud – spécialement conçu pour créer des aires d'entraînement pour les défenseurs et les pentesteurs. Sa fonction principale est de déployer des environnements intentionnellement vulnérables sur plusieurs fournisseurs de services cloud, afin de vous aider à perfectionner vos compétences en matière d'exploitation, de détection et de prévention de ces vulnérabilités.

Avertissement : CNAPPgoat déploie des environnements vulnérables. Utilisez-le uniquement dans des bacs à sable sécurisés et contrôlés.

Pour commencer

CNAPPgoat fonctionne comme un outil en ligne de commande (CLI), capable de déployer des environnements vulnérables sur une multitude de fournisseurs de services cloud. Construit avec Go et utilisant Pulumi ainsi que l'API d'automatisation Pulumi, il garantit un déploiement fluide des environnements. L'une de ses caractéristiques uniques est sa conception modulaire, qui permet une extension sans effort pour prendre en charge un éventail de fournisseurs de services cloud et de nouveaux environnements vulnérables. Actuellement, CNAPPgoat prend en charge AWS, Azure et GCP.

Prérequis pour exécuter CNAPPgoat

• Pulumi
• Kits SDK cloud pour le fournisseur cloud que vous utilisez :
  • AWS CLI
  • Azure CLI
  • Google Cloud SDK

Les dépendances et plugins Pulumi s'installeront à la demande selon les besoins de chaque scénario lorsque vous provisionnerez votre premier environnement. Cela signifie que la première mise en service peut prendre un peu plus de temps que les suivantes.

Installation

Homebrew

CNAPPgoat peut être facilement installé pour les utilisateurs macOS à l'aide du gestionnaire de paquets Homebrew.

brew tap ermetic-research/cnappgoat
brew install cnappgoat

Téléchargement direct de la version pour macOS, Linux et macOS.

1. Téléchargez la dernière version depuis ici.

   root@kitploit:~

   tar -xvf cnappgoat-<version>.tar.gz
   cd cnappgoat-<version>
   

2. (Facultatif) Si vous souhaitez ajouter le binaire extrait au PATH de votre système (ce n'est pas obligatoire, vous pouvez simplement l'exécuter depuis le répertoire local avec ./cnappgoat) :

Option A : Déplacer vers un répertoire dans votre PATH (par exemple /usr/local/bin pour macOS et Linux)

mv cnappgoat /usr/local/bin/

Option B : Ajouter le répertoire contenant le binaire à votre PATH

Pour bash :

echo 'export PATH=$PATH:<chemin_vers_le_répertoire_contenant_cnappgoat>' >> ~/.bashrc
source ~/.bashrc

Pour zsh :

echo 'export PATH=$PATH:<chemin_vers_le_répertoire_contenant_cnappgoat>' >> ~/.zshrc
source ~/.zshrc

Remplacez <chemin_vers_le_répertoire_contenant_cnappgoat> par le chemin absolu du répertoire où se trouve le binaire cnappgoat.

Utilisation

NAME:
   cnappgoat - Un outil open-source multicloud pour déployer des ressources cloud volontairement vulnérables

USAGE:
   cnappgoat [options globales] commande [options de commande] [arguments...]

VERSION:
   0.1.0-beta, date: 2023-08-02T13:02:46Z, commit: 6bef61857d9f3cf88215269df8976f96317711dc


COMMANDS:
   clean      nettoyer et supprimer toutes les ressources créées, ainsi que tous les scénarios et fichiers associés
   describe   décrire un scénario
   destroy    Détruire les scénarios du module CNAPPgoat
   list       Lister les scénarios du module CNAPPgoat
   provision  Provisionner les scénarios du module CNAPPgoat
   help, h    Affiche une liste des commandes ou de l'aide pour une commande

GLOBAL OPTIONS:
   --debug        Activer le mode débogage (par défaut : false)
   --help, -h     afficher l'aide
   --version, -v  afficher la version

Vous pouvez utiliser plusieurs arguments séparés par des espaces. Par exemple :

cnappgoat provision <scénario-1> <scénario-2> <scénario-N>

Options :

• --module - Filtre les scénarios par module (ex. CSPM, CIEM, CWPP, DSPM, KSPM, etc.)
• --platform - Filtre les scénarios par plateforme (ex. AWS, Azure, GCP)
• --force - Active le mode forcé (déverrouiller les piles verrouillées avec pulumi cancel)
• --debug - Active la journalisation de débogage.

Ces options sont des options de commande et doivent être placées après la commande. Par exemple :

cnappgoat provision --module CSPM --platform AWS

Cette commande provisionnera tous les scénarios CSPM AWS.

Scénarios CNAPPgoat

CNAPPgoat télécharge les scénarios depuis le dépôt cnappgoat-scenarios lors de sa première exécution de chaque jour. Ces scénarios sont automatiquement téléchargés lorsque vous exécutez CNAPPgoat et sont stockés dans le répertoire ~/.cnappgoat/scenarios.

Configuration et paramétrage

Avant de pouvoir utiliser CNAPPgoat, vous devez configurer vos identifiants cloud pour AWS, Azure et GCP. CNAPPgoat utilise les identifiants par défaut de chaque fournisseur. Suivez les étapes ci-dessous pour configurer vos identifiants :

Identifiants AWS

1. Installez l'AWS CLI en suivant les instructions ici.

2. Configurez vos identifiants AWS en exécutant :

   root@kitploit:~

   aws configure
   

   Vous serez invité à saisir votre identifiant de clé d'accès, votre clé d'accès secrète et le nom de la région par défaut.

Identifiants Azure

1. Installez l'Azure CLI en suivant les instructions ici.

2. Connectez-vous à votre compte Azure en exécutant :

   root@kitploit:~

   az login
   

   Un nouvel onglet de navigateur s'ouvrira pour vous permettre de vous connecter. Après connexion, vos identifiants seront stockés pour une utilisation ultérieure.

Identifiants GCP

1. Installez le Google Cloud SDK en suivant les instructions ici.

2. Authentifiez-vous auprès de Google Cloud en exécutant :

   root@kitploit:~

   gcloud auth login
   

   Un nouvel onglet de navigateur s'ouvrira pour vous permettre de vous connecter. Après connexion, vos identifiants seront stockés pour une utilisation ultérieure.

En configurant ces identifiants, vous pourrez déployer des scénarios sur AWS, Azure et GCP à l'aide de CNAPPgoat. Si vous prévoyez d'utiliser CNAPPgoat avec un autre fournisseur, assurez-vous de configurer les identifiants en conséquence.

En savoir plus

Pour en savoir plus sur CNAPPgoat, consultez l'article sur le blog Ermetic : https://ermetic.com/blog/cloud/cnappgoat-multicloud-open-source-tool-for-deploying-vulnerable-by-design-cloud-resources/

Remerciements

Projets similaires

CNAPPgoat fournit un large éventail de scénarios vulnérables sur plusieurs clouds pour tester les capacités de détection et de prévention. Il existe d'autres excellents projets pour les environnements cloud vulnérables, axés sur différents domaines tels que l'exploitation, la détection, les scénarios CTF (capture de drapeau), etc. Nous avons été inspirés par ces outils et projets, et nous vous recommandons de les consulter :

• Stratus Red Team by DataDog : un outil qui permet aux utilisateurs d'émuler des techniques d'attaque offensives de manière granulaire et autonome
• Cloud Goat by Rhino Security Labs : un outil de déploiement AWS "Vulnérable par conception". Il vous permet de perfectionner vos compétences en cybersécurité cloud en créant et en réalisant plusieurs scénarios de type "capture the flag"
• Kubernetes Goat by Madhu Akula : un environnement de cluster intentionnellement vulnérable pour apprendre et pratiquer la sécurité Kubernetes
• TerraGoat by Bridgecrew : un dépôt Terraform "Vulnérable par conception"
• CloudFoxable by BishopFox : un bac à sable de piratage cloud ludifié

D'autres défis et outils peuvent être trouvés dans le dépôt Awesome Cloud Security Challenges par Mike Privitte, notre liste étant spécifiquement axée sur les environnements cloud vulnérables par conception déployés par les utilisateurs dans leur propre bac à sable.

Contact

Pour envoyer un e-mail à l'équipe du projet, contactez [email protected]

Avertissement

• CNAPPgoat est fourni "en l'état" et sans aucune garantie ni support.
• Ceci est une version bêta. Le projet est encore en développement, nous nous excusons donc pour les difficultés de croissance. Nous publierons une version stable dans les semaines à venir.