विस्तारणीय Azure सुरक्षा उपकरण

विस्तारणीय Azure सुरक्षा उपकरण (बाद में E.A.S.T के रूप में संदर्भित) Azure और कुछ हद तक Azure AD सुरक्षा नियंत्रणों का आकलन करने का उपकरण है। EAST का प्राथमिक उपयोग मामला Azure आकलन में मूल्यांकन के लिए सुरक्षा डेटा संग्रह है। इस जानकारी (JSON सामग्री) का उपयोग विभिन्न रिपोर्टिंग उपकरणों में किया जा सकता है, जिसका उपयोग हम डेटा को और सहसंबंधित और जांचने के लिए करते हैं।

यह उपकरण MIT लाइसेंस के अंतर्गत लाइसेंस प्राप्त है।

सहयोगी

• मेरे द्वारा
• Nixu क्लाउड सुरक्षा टीम

---

विषय सूची

• विस्तारणीय Azure सुरक्षा उपकरण
• सहयोगी
• रिलीज़ नोट्स
• महत्वपूर्ण
• उपकरण संचालन
  • निर्भरताएँ
  • नियंत्रण
    • मूल
    • उन्नत
    • संयुक्त
  • रिपोर्टिंग
    • EAST स्कैन चलाना
      • विस्तृत पूर्वापेक्षाएँ (यह तब है यदि आपने "फायर एंड फॉरगेट" संस्करण नहीं करने का विकल्प चुना है)
      • Az CLI में लॉगिन करें और स्कैन चलाएँ
  • लाइसेंसिंग
• उपकरण संचालन दस्तावेज़ीकरण
  • सिद्धांत
    • AZCLI उपयोग
    • गति वृद्धि
  • पैरामीटर संदर्भ
  • (अत्यधिक प्रायोगिक) प्रतिबंधित वातावरण में चलाना जहाँ केवल ब्राउज़र का उपयोग उपलब्ध है
  • नियंत्रण विकसित करना
  • अद्यतन और उदाहरण
    • Microsoft.Web प्रदाता का ऑडिट (फ़ंक्शन और वेब ऐप्स)
    • Azure RBAC आधार रेखा प्राधिकरण
  • योगदान
    • अन्य

---

रिलीज़ नोट्स

v 0.5

• पुनर्गठन:
  • प्रबंधित पहचान भूमिका और Azure AD असाइनमेंट अब एकल मॉड्यूल के माध्यम से किए जाते हैं, पिछला संस्करण अपनी उम्र दिखा रहा था, और तर्क अब सही नहीं था। नया मॉड्यूल miGeneral.js है
  • ASB अब ASB नहीं है, यह अब Microsoft क्लाउड सुरक्षा बेंचमार्क है, देखें query.js

v 0.4

• पूर्वावलोकन शाखा शुरू की गई

  परिवर्तन:

  • इंस्टॉलेशन अब निर्भरताओं के संबंध में Azure Cloud Shell के अद्यतन संस्करण के उपयोग को ध्यान में रखता है (Cloud Shell में अब Node.JS v 16 संस्करण स्थापित है)

  • सलाह के अनुसार Databricks क्लस्टर प्रकारों की जाँच
    

    • संभावित विशेषाधिकार वृद्धि के लिए Databricks क्लस्टरों का ऑडिट - इस नियंत्रण के लिए आमतौर पर डेटाब्रिक्स क्लस्टर पर अनुमतियाँ आवश्यक होती हैं"

  • Content.json में अब कुंजी और सामग्री आधारित सॉर्टिंग है। यह git diff HEAD^1 ¹ के साथ डेल्टा जाँच करने में सक्षम बनाता है क्योंकि content.json में परिणामों का पूर्व निर्धारित क्रम है

    

  ¹ ⚠️ सावधानी का शब्द, यदि content.json के डेल्टा की जाँच करना चाहते हैं, तो content.json को .gitignore से "अअनदेखा" करने की आवश्यकता होगी, जिससे परिणाम आपके द्वारा कॉन्फ़िगर किए गए किसी भी अपस्ट्रीम के सामने आ जाएंगे।

  इस सुविधा का सावधानी से उपयोग करें, और सुनिश्चित करें कि आपने जिस शाखा के लिए इस सुविधा का उपयोग कर रहे हैं, उसके लिए सार्वजनिक अपस्ट्रीम सेट नहीं किया गया है

• बड़े डेटासेट के साथ संभावित दौड़ स्थितियों से बचने के लिए प्रोग्रामिंग पैटर्न में बदलाव। यह मुख्य रूप से for await-शैली लूप में var से let के उपयोग में बदलाव है

---

महत्वपूर्ण

⚠️ उपकरण की वर्तमान स्थिति बीटा है

• सुधार, अद्यतन आदि "सर्वोत्तम प्रयास" के आधार पर किए जाते हैं, समय या लागू किए गए संभावित सुधार की गुणवत्ता की कोई गारंटी नहीं है
• हम अपने दैनिक कार्य में EAST का उपयोग करने से पहले कुछ अतिरिक्त ट्यूनिंग करते हैं, जैसे विभिन्न रन और पर्यावरण प्रतिबंध लागू करना, इसके अलावा संबंधित वातावरण से स्वयं को परिचित करना। इस प्रकार हम वर्तमान में अनुशंसा करते हैं कि EAST केवल परीक्षण वातावरण में और केवल-पढ़ने की अनुमतियों के साथ चलाया जाए।
  • सेवा में सभी कॉल बड़े पैमाने पर Azure Cloud IP के लिए हैं, इसलिए इसे कठोर वातावरण में अच्छी तरह से काम करना चाहिए जहां आउटबाउंड IP प्रतिबंध लागू होते हैं। इससे इस उपकरण में दुर्भावनापूर्ण पैकेज होने का जोखिम कम हो जाता है जो Azure में C2 के बिना भी "phone home" कर सकते हैं।
    • मूल रूप से इसे केवल-पढ़ने के मोड में चलाने से, संभावित समझौता किए गए NPM पैकेजों से जुड़े जोखिम को बहुत कम करता है (Google compromised NPM)
    • बग आदि: आप इस उपकरण को केवल-पाठक अनुमतियों के साथ चलाकर अपने वातावरण को इस कोड में कुछ गलतियों से बचा सकते हैं
• बहुत सारा कोड "जैसा है वैसा" है: इसका अर्थ है, यह केवल एक निश्चित परिणाम बनाने के उद्देश्य की पूर्ति कर रहा है; बहुत सारी सफाई और मॉड्यूलरीकरण का काम अभी बाकी है
• फिलहाल कोई परीक्षण नहीं हैं, कुछ मैन्युअल जाँचों के अलावा, जो main.js और विभिन्न अधिक उन्नत नियंत्रणों में बदलाव के बाद चलाए जाते हैं।
• इस स्तर पर नियंत्रण विवरण अंतिम उत्पाद नहीं हैं, इसलिए उन पर प्रतिक्रिया देना, सराहनीय होते हुए भी, इस स्तर पर टूलिंग का फोकस नहीं है
• जैसा कि नाम से पता चलता है, हम इसका उपयोग वातावरण का मूल्यांकन करने के उपकरण के रूप में करते हैं। फिलहाल इसे अप्राप्य रूप से चलाने का इरादा नहीं है, और इसे किसी भी इंटरनेट-एक्सपोज़्ड सेवा में नहीं चलाया जाना चाहिए जो आने वाले कनेक्शनों को स्वीकार करती है।
• दस्तावेज़ीकरण को फिलहाल अधूरा कहा जा सकता है
• EAST ज्यादातर PaaS संसाधन पर केंद्रित है, क्योंकि हमारे अधिकांश Azure आकलन इस संसाधन प्रकार पर केंद्रित हैं
• ⚠️ लॉन्च पैरामीटर्स पर कोई इनपुट सैनिटाइजेशन नहीं किया जाता, क्योंकि यह हमेशा माना जाता है कि इन पैरामीटरों का इनपुट नियंत्रित है। ऐसा कहने के बाद, उपकरण बड़े पैमाने पर exec() का उपयोग करता है - जबकि मैंने सभी पथों की समीक्षा नहीं की है, मेरा मानना है कि शेलकोड निष्पादन प्राप्त करना तुच्छ है। यह उपकरण शत्रुतापूर्ण इनपुट नहीं मानता है, इसलिए सिफारिश है कि आप पहले उनकी समीक्षा किए बिना लॉन्च तर्कों को कमांड लाइन में पेस्ट न करें।

उपकरण संचालन

निर्भरताएँ

कोड की मात्रा कम करने के लिए हम संचालन और सौंदर्यशास्त्र के लिए निम्नलिखित निर्भरताओं का उपयोग करते हैं (इन शानदार पैकेजों के अनुरक्षकों को बधाई)

पैकेज	सौंदर्यशास्त्र	संचालन	लाइसेंस
axios		✅	MIT
yargs		✅	MIT
jsonwebtoken		✅	MIT
chalk	✅		MIT
js-beautify	✅		MIT

उपकरण चलाने के लिए अन्य निर्भरताएँ: यदि आप इसे Azure Cloud Shell में चलाने की योजना बना रहे हैं तो आपको Azure CLI स्थापित करने की आवश्यकता नहीं है:

• यह उपकरण Microsoft Azure CLI को शामिल या वितरित नहीं करता, बल्कि इसका उपयोग तब करता है जब यह स्रोत सिस्टम पर स्थापित हो (जैसे Azure Cloud Shell, जो EAST चलाने का प्राथमिक प्लेटफॉर्म है)