aws-perimeter

Un scanner de sécurité AWS en terminal avec plus de 100 vérifications de sécurité couvrant VPC, IAM, S3, CloudTrail, les conteneurs (ECS/EKS) et la détection d'attaques IA. Détecte les permissions IAM dangereuses, les secrets exposés, les buckets S3 mal configurés, les vulnérabilités des conteneurs et les menaces émergentes de LLMjacking.

Aperçu du produit : docs/CAPABILITIES_OVERVIEW.md

Fonctionnalités

🔒 Sécurité VPC

• Analyse des groupes de sécurité (SSH/RDP ouverts, ports de base de données)
• Détection d'exposition publique et risques liés aux ports de gestion
• Analyse des ACL réseau et audit des VPC Flow Logs
• Risques de peering VPC, détection de bastion host
• Statut NAT Gateway et couverture des endpoints VPC

🔑 Sécurité IAM

• Détection d'escalade de privilèges (17 modèles)
• Identifiants obsolètes (plus de 90 jours)
• Analyse des relations de confiance跨-compte
• Lacunes dans l'application du MFA
• Politiques trop permissives (*:*)
• Chaînage de rôles, ID externe, périmètres d'autorisation

🪣 Sécurité S3

• Détection de buckets publics
• Audit de chiffrement et politiques de bucket risquées
• Statut du blocage d'accès public
• Découverte de fichiers/objets sensibles (.env, .git, identifiants)
• Détection de secrets dans le contenu textuel profond des objets S3

📜 CloudTrail et Journalisation

• Lacunes de couverture des trails et journalisation multirégion
• Statut de validation des journaux
• Intégration CloudWatch Logs

🕵️ Détection de Secrets

• Variables d'environnement Lambda (10 modèles de secrets)
• Analyse du package de déploiement Lambda (ZIP)
• Analyse des données utilisateur EC2
• Analyse du contenu des objets S3 publics
• Analyse des couches d'images ECR pour les identifiants intégrés
• Clés AWS, tokens GitHub/Slack/Stripe

🐳 Sécurité des Conteneurs (NOUVEAU)

Sécurité ECS (10 vérifications)

• Conteneurs privilégiés
• Secrets dans les variables d'environnement
• Exposition d'IP publique
• Mode réseau hôte
• Images non issues d'ECR
• Système de fichiers racine inscriptible
• Capacités Linux dangereuses
• ECS Exec activé
• Statut Container Insights
• Rôle de tâche administrateur

Sécurité EKS (12 vérifications)

• Accès au point de terminaison public
• Point de terminaison privé désactivé
• Journalisation du plan de contrôle
• Chiffrement des secrets
• Version de Kubernetes
• Fournisseur OIDC pour IRSA
• Modes d'authentification hérités
• Nœuds dans des sous-réseaux publics
• Accès SSH sans restriction
• Rôle IAM de nœud de niveau administrateur
• Type d'AMI (préférence Bottlerocket)

🤖 Détection d'Attaques IA (NOUVEAU)

Basé sur le renseignement de menaces de février 2025 : brèche AWS en 8 minutes

• Surveillance des instances GPU : Détection des instances p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1
• Exposition publique des GPU : Instances GPU avec IP publiques
• Risque IMDSv1 sur GPU : Instances GPU vulnérables au vol d'identifiants
• Abus de Bedrock : Détection de débits provisionnés à haute capacité
• Modèles personnalisés : Entraînement non autorisé de modèles Bedrock
• Journalisation Bedrock : Absence de journalisation des invocations de modèles
• Provisionnement rapide : Détection de limitation de l'API EC2 (motif d'attaque)

Résumé des Vérifications de Sécurité

Vérifications de Sécurité Critiques

Prérequis

1. AWS CLI Installé

# macOS
brew install awscli

# Linux
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install

2. Identifiants AWS Configurés

aws configure
# ou utilisez des profils nommés
aws configure --profile monprofil

3. Permissions IAM Requises

Vos identifiants AWS doivent disposer d'un accès en lecture seule aux services scannés. La politique gérée AWS ReadOnlyAccess fonctionne, ou voir Permissions Requises ci-dessous.

Remarque : aws-perimeter n'effectue que des opérations de lecture et ne modifie jamais vos ressources AWS.

Installation

Installation Rapide (macOS/Linux)

curl -sSfL https://raw.githubusercontent.com/thirukguru/aws-perimeter/main/install.sh | sh

Avec Go

go install github.com/thirukguru/aws-perimeter@latest

Utilisation

aws-perimeter                          # Exécuter un scan de sécurité complet
aws-perimeter --output json            # Sortie JSON
aws-perimeter --profile prod           # Profil AWS spécifique
aws-perimeter --region us-west-2       # Région spécifique
aws-perimeter --regions us-east-1,us-west-2            # Scan multirégion
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4  # Multirégion avec concurrence contrôlée
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4 --best-effort  # Quitter avec succès si au moins une région réussit
aws-perimeter --rules                   # Afficher RULES.md sur stdout (Markdown)
aws-perimeter --capabilities            # Afficher l'aperçu des capacités sur stdout (Markdown)
aws-perimeter --all-regions                            # Scanner toutes les régions activées
aws-perimeter --org-scan --org-role-name OrganizationAccountAccessRole  # Scan multi-compte de l'organisation
aws-perimeter --org-scan --max-parallel 5              # Concurrence d'éclatement Org+Région
aws-perimeter --output html --output-file report.html  # Générer un rapport HTML
aws-perimeter --store --profile prod --region us-west-2 # Exécuter + persister le scan
aws-perimeter --trends --trend-days 30 --account-id 123456789012  # Afficher le tableau de tendances historiques
aws-perimeter history list --db-path ~/.aws-perimeter/history.db
aws-perimeter dashboard --port 8080

Pour les modes d'éclatement (--regions, --all-regions, --org-scan) avec --output html --output-file ..., aws-perimeter écrit un rapport par unité de scan avec des suffixes région/compte et horodatage (par exemple security-report-us-east-1-20260210-213045.html ou security-report-123456789012-us-east-1-20260210-213045.html). En mode HTML, la sortie du tableau terminal est supprimée et seules des lignes récapitulatives concises sont imprimées.

Mode Automatisation JSON

Lorsque --output json est utilisé, aws-perimeter émet un seul document JSON valide sans bruit de bannière/spinner, donc sûr pour les pipelines.

aws-perimeter --profile prod --region us-west-2 --output json | jq .

# Le JSON multirégion émet un seul document JSON agrégé de premier niveau :
aws-perimeter --profile prod --regions us-east-1,us-west-2 --output json | jq .

# exporter la documentation via redirection stdout
aws-perimeter --rules > rules.md
aws-perimeter --capabilities > capabilities.md

Le payload JSON multirégion inclut :

• summary (total_regions, success, failed, skipped)
• results (charges utiles de scan consolidées par région)
• failures (région + détails d'erreur en cas d'échec d'un scan régional)

Résumé de Sortie d'Éclatement

Pour les scans multirégion et organisation en modes de sortie non JSON, aws-perimeter imprime un résumé consolidé à la fin de l'exécution :

• Lignes par unité de scan avec account_id, account_name, region, status, duration et error.
• Totaux agrégés (TOTAL, SUCCESS, FAILED, SKIPPED).
• Tableau récapitulatif par compte pour les scans d'organisation (nombre de succès/échecs/sauts par compte).

--max-parallel et --best-effort

• --max-parallel contrôle le nombre d'unités de scan région/compte exécutées simultanément dans les modes d'éclatement (--regions, --all-regions, --org-scan).
• Des valeurs plus élevées accélèrent les scans mais augmentent la pression API et le risque de limitation/contention réseau.
• Point de départ recommandé : --max-parallel 3 ou --max-parallel 4.
• --best-effort s'applique aux scans multirégion : la commande quitte avec succès (0) quand au moins une région réussit, même si certaines échouent.
• Sans --best-effort, toute région en échec renvoie un code de sortie non nul.
• Dans la sortie JSON multirégion, les régions en échec apparaissent sous failures avec l'erreur exacte.

Flags

Permissions AWS Requises

Les permissions suivantes sont nécessaires pour une couverture complète des fonctionnalités (y compris multirégion et scan d'organisation) :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sts:GetCallerIdentity",
        "sts:AssumeRole",
        
        "organizations:DescribeOrganization",
        "organizations:ListAccounts",
        
        "ec2:Describe*",
        "ec2:GetEbsEncryptionByDefault",
        
        "iam:List*",
        "iam:Get*",
        "iam:GenerateCredentialReport",
        
        "s3:ListAllMyBuckets",
        "s3:GetBucket*",
        "s3:GetEncryptionConfiguration",
        
        "cloudtrail:DescribeTrails",
        "cloudtrail:GetTrailStatus",
        "cloudtrail:LookupEvents",
        
        "lambda:ListFunctions",
        "lambda:GetFunctionConfiguration",
        "lambda:GetFunction",
        
        "ecr:DescribeRepositories",
        "ecr:DescribeImages",
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        
        "ecs:ListClusters",
        "ecs:DescribeClusters",
        "ecs:ListServices",
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        
        "eks:ListClusters",
        "eks:DescribeCluster",
        "eks:ListNodegroups",
        "eks:DescribeNodegroup",
        
        "bedrock:ListProvisionedModelThroughputs",
        "bedrock:ListCustomModels",
        "bedrock:GetModelInvocationLoggingConfiguration",
        
        "guardduty:ListDetectors",
        "guardduty:GetDetector",
        "guardduty:ListFindings",
        "guardduty:GetFindings",
        
        "securityhub:DescribeHub",
        "securityhub:GetFindings",
        
        "config:Describe*",
        
        "kms:ListKeys",
        "kms:DescribeKey",
        "kms:GetKeyRotationStatus",
        "kms:Decrypt",
        
        "rds:DescribeDB*",
        
        "dynamodb:ListTables",
        "dynamodb:DescribeTable",
        "dynamodb:DescribeContinuousBackups",
        
        "secretsmanager:ListSecrets",
        
        "elasticloadbalancing:Describe*",
        
        "backup:List*",
        
        "apigateway:GET",
        
        "cloudfront:List*",
        "cloudfront:Get*",
        
        "cloudwatch:GetMetricStatistics",
        
        "sns:ListTopics",
        "sqs:ListQueues"
      ],
      "Resource": "*"
    }
  ]
}

kms:Decrypt est requis uniquement lors de l'analyse d'objets/packages chiffrés (par exemple, lectures d'objets S3 SSE-KMS). Limitez cette action aux clés KMS nécessaires en production.

Pour --org-scan, le principal de gestion doit être autorisé à assumer un rôle du compte membre (par défaut : OrganizationAccountAccessRole), par exemple :

{
  "Effect": "Allow",
  "Action": "sts:AssumeRole",
  "Resource": "arn:aws:iam::*:role/OrganizationAccountAccessRole"
}

La politique de confiance du rôle du compte membre doit également permettre à votre principal de scan (utilisateur/rôle) de l'assumer (et inclure la condition sts:ExternalId si vous utilisez --external-id).

Astuce : Pour un démarrage rapide, attachez la politique gérée AWS arn:aws:iam::aws:policy/ReadOnlyAccess à votre utilisateur/rôle IAM.

Feuille de Route

Phase 3 : Détection Avancée des Menaces

• Modélisation des menaces STRIDE
• Analyse des chemins d'attaque
• Détection d'exfiltration de données
• Indicateurs de minage de crypto-monnaie

Phase 4 : Fonctionnalités Entreprise

• Support multi-compte des organisations
• Intégration CI/CD
• Export SIEM (Splunk, ELK)
• Tendances historiques

Résumé

Licence

Apache License 2.0