aws-perimeter

Un scanner de sécurité AWS en terminal avec plus de 100 vérifications de sécurité couvrant VPC, IAM, S3, CloudTrail, les conteneurs (ECS/EKS) et la détection d'attaques IA. Détecte les permissions IAM dangereuses, les secrets exposés, les buckets S3 mal configurés, les vulnérabilités des conteneurs et les menaces émergentes de LLMjacking.

Aperçu du produit : docs/CAPABILITIES_OVERVIEW.md

Fonctionnalités

🔒 Sécurité VPC

• Analyse des groupes de sécurité (SSH/RDP ouverts, ports de base de données)
• Détection d'exposition publique et risques liés aux ports de gestion
• Analyse des ACL réseau et audit des VPC Flow Logs
• Risques de peering VPC, détection de bastion host
• Statut NAT Gateway et couverture des endpoints VPC

🔑 Sécurité IAM

• Détection d'escalade de privilèges (17 modèles)
• Identifiants obsolètes (plus de 90 jours)
• Analyse des relations de confiance跨-compte
• Lacunes dans l'application du MFA
• Politiques trop permissives (*:*)
• Chaînage de rôles, ID externe, périmètres d'autorisation

🪣 Sécurité S3

• Détection de buckets publics
• Audit de chiffrement et politiques de bucket risquées
• Statut du blocage d'accès public
• Découverte de fichiers/objets sensibles (.env, .git, identifiants)
• Détection de secrets dans le contenu textuel profond des objets S3

📜 CloudTrail et Journalisation

• Lacunes de couverture des trails et journalisation multirégion
• Statut de validation des journaux
• Intégration CloudWatch Logs

🕵️ Détection de Secrets

• Variables d'environnement Lambda (10 modèles de secrets)
• Analyse du package de déploiement Lambda (ZIP)
• Analyse des données utilisateur EC2
• Analyse du contenu des objets S3 publics
• Analyse des couches d'images ECR pour les identifiants intégrés
• Clés AWS, tokens GitHub/Slack/Stripe

🐳 Sécurité des Conteneurs (NOUVEAU)

Sécurité ECS (10 vérifications)

• Conteneurs privilégiés
• Secrets dans les variables d'environnement
• Exposition d'IP publique
• Mode réseau hôte
• Images non issues d'ECR
• Système de fichiers racine inscriptible
• Capacités Linux dangereuses
• ECS Exec activé
• Statut Container Insights
• Rôle de tâche administrateur

Sécurité EKS (12 vérifications)

• Accès au point de terminaison public
• Point de terminaison privé désactivé
• Journalisation du plan de contrôle
• Chiffrement des secrets
• Version de Kubernetes
• Fournisseur OIDC pour IRSA
• Modes d'authentification hérités
• Nœuds dans des sous-réseaux publics
• Accès SSH sans restriction
• Rôle IAM de nœud de niveau administrateur
• Type d'AMI (préférence Bottlerocket)

🤖 Détection d'Attaques IA (NOUVEAU)

Basé sur le renseignement de menaces de février 2025 : brèche AWS en 8 minutes

• Surveillance des instances GPU : Détection des instances p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1
• Exposition publique des GPU : Instances GPU avec IP publiques
• Risque IMDSv1 sur GPU : Instances GPU vulnérables au vol d'identifiants
• Abus de Bedrock : Détection de débits provisionnés à haute capacité
• Modèles personnalisés : Entraînement non autorisé de modèles Bedrock
• Journalisation Bedrock : Absence de journalisation des invocations de modèles
• Provisionnement rapide : Détection de limitation de l'API EC2 (motif d'attaque)

Résumé des Vérifications de Sécurité

Catégorie	Nombre
Core (IAM, VPC, S3, CloudTrail, Secrets)	38
Étendues (Lambda, ELB, Route53, Inspector, etc.)	35
Sécurité des Conteneurs (ECS + EKS)	22
Détection d'Attaques IA	7
Total	102

Vérifications de Sécurité Critiques

Vérification	Sévérité	Description
Escalade de privilèges	🔴 Critique	L'utilisateur peut passer administrateur
Accès Admin (:)	🔴 Critique	Accès AWS complet accordé
Secrets exposés	🔴 Critique	Clés API/tokens dans Lambda/EC2
Bucket S3 public	🔴 Critique	Bucket accessible publiquement
Pas de CloudTrail	🔴 Critique	Aucune journalisation d'audit
SSH/RDP ouvert	🔴 Critique	Ports 22/3389 vers Internet
Conteneur privilégié	🔴 Critique	Conteneur ECS avec accès root
GPU IMDSv1	🔴 Critique	Identifiants d'instance GPU vulnérables
Confiance跨-compte	🟠 Élevée	Un compte externe peut assumer un rôle
Point de terminaison public EKS	🟠 Élevée	API Kubernetes accessible publiquement
Bedrock sans journalisation	🟠 Élevée	Utilisation du modèle IA non audité

Prérequis

1. AWS CLI Installé

# macOS
brew install awscli

# Linux
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install

2. Identifiants AWS Configurés

aws configure
# ou utilisez des profils nommés
aws configure --profile monprofil

3. Permissions IAM Requises

Vos identifiants AWS doivent disposer d'un accès en lecture seule aux services scannés. La politique gérée AWS ReadOnlyAccess fonctionne, ou voir Permissions Requises ci-dessous.

Remarque : aws-perimeter n'effectue que des opérations de lecture et ne modifie jamais vos ressources AWS.

Installation

Installation Rapide (macOS/Linux)

curl -sSfL https://raw.githubusercontent.com/thirukguru/aws-perimeter/main/install.sh | sh

Avec Go

go install github.com/thirukguru/aws-perimeter@latest

Utilisation

aws-perimeter                          # Exécuter un scan de sécurité complet
aws-perimeter --output json            # Sortie JSON
aws-perimeter --profile prod           # Profil AWS spécifique
aws-perimeter --region us-west-2       # Région spécifique
aws-perimeter --regions us-east-1,us-west-2            # Scan multirégion
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4  # Multirégion avec concurrence contrôlée
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4 --best-effort  # Quitter avec succès si au moins une région réussit
aws-perimeter --rules                   # Afficher RULES.md sur stdout (Markdown)
aws-perimeter --capabilities            # Afficher l'aperçu des capacités sur stdout (Markdown)
aws-perimeter --all-regions                            # Scanner toutes les régions activées
aws-perimeter --org-scan --org-role-name OrganizationAccountAccessRole  # Scan multi-compte de l'organisation
aws-perimeter --org-scan --max-parallel 5              # Concurrence d'éclatement Org+Région
aws-perimeter --output html --output-file report.html  # Générer un rapport HTML
aws-perimeter --store --profile prod --region us-west-2 # Exécuter + persister le scan
aws-perimeter --trends --trend-days 30 --account-id 123456789012  # Afficher le tableau de tendances historiques
aws-perimeter history list --db-path ~/.aws-perimeter/history.db
aws-perimeter dashboard --port 8080