मल्टी-क्लाउड नॉन-ह्यूमन आइडेंटिटी (NHI) जोखिम विश्लेषक और उपचारक

एक एंटरप्राइज़-ग्रेड, ऑफ़लाइन-फ़र्स्ट सुरक्षा ऑटोमेशन प्लेटफ़ॉर्म जो AWS, Azure, और Google Cloud Platform (GCP) में नॉन-ह्यूमन आइडेंटिटीज़ (NHIs) — सर्विस प्रिंसिपल, सर्विस अकाउंट, मशीन रोल, एक्सेस की, और क्रेडेंशियल — की खोज, इन्वेंटरी, विश्लेषण, जोखिम-मूल्यांकन, और सुरक्षित उपचार करता है।

⭐️ यदि आपको यह टूल क्लाउड्स में नॉन-ह्यूमन आइडेंटिटीज़ के ऑडिटिंग और सुरक्षित करने में सहायक लगे, तो कृपया रिपॉज़िटरी को स्टार करने पर विचार करें!

🌐 मल्टी-क्लाउड आइडेंटिटी कवरेज

क्लाउड प्रदाता	कवर किए गए आइडेंटिटी प्रकार	डिस्कवरी इंजन	सीक्रेट / क्रेडेंशियल निरीक्षण	सक्रिय नियम	स्थिति
🟧 AWS	IAM रोल, मशीन उपयोगकर्ता, समूह, नीतियाँ	Boto3 + सत्र कैशिंग	एक्सेस की (`CreateDate`, `LastUsed`)	13 नियम (`AWS_01`–`16`, `TAG_01`)	✅ समर्थित
🟦 Azure	Entra ID सर्विस प्रिंसिपल, ऐप रजिस्ट्रेशन, मैनेज्ड आइडेंटिटीज़	शुद्ध REST (Graph और ARM)	क्लाइंट सीक्रेट (`passwordCredentials`), प्रमाणपत्र (`keyCredentials`)	5 नियम (`AZURE_01`–`05`)	✅ समर्थित
🟥 GCP	सर्विस अकाउंट, वर्कलोड आइडेंटिटी, IAM रोल	शुद्ध REST (IAM और Resource Mgr)	सर्विस अकाउंट की (`validAfterTime`, उपयोगकर्ता-प्रबंधित)	6 नियम (`GCP_01`–`06`)	✅ समर्थित

🧪 टेस्ट सूट स्थिति: सभी प्रदाताओं और इंजनों में 102 पास, 4 सबटेस्ट पास (100% हरा)।

📋 अवलोकन

NHI जोखिम विश्लेषक एक महत्वपूर्ण मल्टी-क्लाउड सुरक्षा चुनौती का समाधान करता है: आधुनिक एंटरप्राइज़ क्लाउड वातावरण सैकड़ों मशीन और नॉन-ह्यूमन आइडेंटिटीज़ (सर्विस अकाउंट, ऑटोमेशन रोल, CI/CD क्रेडेंशियल, क्रॉस-क्लाउड ट्रस्ट रोल) संचित करते हैं, जिनमें इस बात की न्यूनतम दृश्यता होती है कि कौन-सी आइडेंटिटीज़ अति-विशेषाधिकार प्राप्त, निष्क्रिय, या विशेषाधिकार-उन्नयन जोखिम उत्पन्न करने वाली हैं।

प्लेटफ़ॉर्म तीन अलग-अलग चरणों में सख्त आर्किटेक्चरल वियोजन लागू करता है:

मल्टी-क्लाउड स्टेट संग्रह: हल्के, क्लाउड-नेटिव तंत्रों के माध्यम से एक सामान्यीकृत inventory.json स्नैपशॉट में अंतर्ग्रहण (AWS के लिए Boto3 सत्र-कैश्ड; Azure और GCP के लिए शून्य-निर्भरता शुद्ध REST)।
ऑफ़लाइन जोखिम मूल्यांकन: लाइव नेटवर्क निर्भरताओं के बिना स्नैपशॉट के विरुद्ध सुरक्षा नियमों का मूल्यांकन। इसका अर्थ है कि जोखिम इंजन को क्लाउड प्रदाताओं को फिर से छुए बिना पुनः चलाया, परीक्षण किया, और पुनरावृत्त किया जा सकता है, और प्रत्येक निष्कर्ष उस सटीक खाते/टेनेंट स्थिति के विरुद्ध पुनरुत्पादनीय है जिससे वह उत्पन्न हुआ था।
स्वचालित उपचार और नियंत्रण: एक फ़ेल-क्लोज़्ड नियंत्रण पाइपलाइन जो नीति सीमाओं के माध्यम से खतरनाक उन्नयन हमला पथों को निष्क्रिय करती है और परिचालन माइक्रोसर्विस व्यवधान पैदा किए बिना पुराने/निष्क्रिय क्रेडेंशियल को निष्क्रिय करती है।

🎯 यह प्रोजेक्ट क्यों मौजूद है

एंटरप्राइज़ मल्टी-क्लाउड वातावरण नियमित रूप से ऐसी नॉन-ह्यूमन आइडेंटिटीज़ रखते हैं जो:

अमानकीकृत: एकीकृत प्रावधान मानकों के बिना विविध क्लाउड्स में मैन्युअल रूप से बनाई गई।
अति-अनुमतिप्राप्त: वास्तविक परिचालन आवश्यकताओं से कहीं अधिक प्रशासनिक या वाइल्डकार्ड अनुमतियाँ प्रदान की गई।
निष्क्रिय और भूली हुई: वर्कलोड या एकीकरण पाइपलाइनों के डीकमीशन होने के बहुत बाद तक सक्रिय छोड़ी गई।
अपूर्ण रूप से ऑडिट की गई: इनलाइन नीतियाँ, कस्टम रोल परिभाषाएँ, या सीधे बाइंडिंग रखती हैं जो मानक अनुपालन जाँचों को बायपास करती हैं।
क्रेडेंशियल जोखिम: ऐसी एक्सेस की, क्लाइंट सीक्रेट, या सर्विस अकाउंट की का उपयोग करना जो पुरानी (>90 दिन पुरानी), समाप्त होने वाली, या शुरुआत से कभी उपयोग नहीं की गई हों।
उन्नयन-प्रवण: ऐसी क्लाउड IAM अनुमतियाँ रखना जो अकेले या संयुक्त रूप से पूर्ण प्रशासक पहुँच तक विशेषाधिकार उन्नयन की अनुमति देती हैं — प्रलेखित हमला पथ जिन्हें अधिकांश केवल-नीति स्कैनर जाँचते नहीं हैं।

NHI जोखिम विश्लेषक क्लाउड API और ऑफ़लाइन नियम प्रसंस्करण का उपयोग करके क्लाउड प्रदाताओं में खोज, सुरक्षा विश्लेषण, और लक्षित उपचार को स्वचालित करता है।

🏗️ आर्किटेक्चर और वर्कफ़्लो

  ┌──────────────┐         ┌──────────────┐         ┌──────────────┐
  │   AWS IAM    │         │  Azure Entra │         │   GCP IAM    │
  │   (Boto3)    │         │  (Pure REST) │         │  (Pure REST) │
  └──────┬───────┘         └──────┬───────┘         └──────┬───────┘
         │                        │                        │
         └────────────────┐       │       ┌────────────────┘
                          ▼       ▼       ▼
                    ┌───────────────────────────┐
                    │       inventory.py        │
                    │ (Multi-Cloud Collector)   │
                    └─────────────┬─────────────┘
                                  ▼
                    ┌───────────────────────────┐
                    │      inventory.json       │
                    │  (Unified State Snapshot) │
                    └─────────────┬─────────────┘
                                  │
                                  ▼
                    ┌───────────────────────────┐
                    │          risk.py          │
                    │    (--cloud Orchestrator) │
                    └─────────────┬─────────────┘
                                  │
         ┌────────────────────────┼────────────────────────┐
         ▼                        ▼                        ▼
  ┌──────────────┐         ┌──────────────┐         ┌──────────────┐
  │  aws.py sub- │         │ azure.py sub-│         │  gcp.py sub- │
  │    runner    │         │    runner    │         │    runner    │
  │ (13 Rules)   │         │  (5 Rules)   │         │  (6 Rules)   │
  └──────┬───────┘         └──────┬───────┘         └──────┬───────┘
         └────────────────────────┼────────────────────────┘
                                  ▼
                    ┌───────────────────────────┐
                    │        dispatch.py        │
                    │ (Containment Dispatcher)  │
                    └─────────────┬─────────────┘
                                  │
         ┌────────────────────────┴────────────────────────┐
         ▼                                                 ▼
┌─────────────────────────┐                     ┌─────────────────────┐
│ policy_surgery.py &     │                     │    credential.py    │
│ policy.py (Boundaries)  │                     │ (Deactivate Key)    │
└─────────────────────────┘                     └─────────────────────┘

स्टेट कलेक्शन (nhi/services/inventory.py): AWS, Azure और GCP में क्लाउड API को क्वेरी करता है, क्रेडेंशियल मेटाडेटा (एक्सेस की अंतिम बार उपयोग, सीक्रेट समाप्ति) को समृद्ध करता है, और एक स्वच्छ स्टेट स्नैपशॉट को inventory.json में सीरियलाइज़ करता है।
सेलेक्टिव क्लाउड ऑर्केस्ट्रेटर (nhi/risk/risk.py): क्लाउड प्रदाताओं को चुनिंदा रूप से लक्षित करने के लिए --cloud {aws,azure,gcp,all} स्वीकार करता है, अनावश्यक API कॉल को बचाता है और क्रॉस-टेनेंट रेट लिमिट से बचता है।
मॉड्यूलर रिस्क रनर (nhi/risk/runners/): डिकपल्ड एक्ज़ीक्यूशन इंजन (aws.py, azure.py, gcp.py) आंशिक या अनुपलब्ध क्लाउड पेलोड के विरुद्ध रक्षात्मक गार्ड के साथ मॉड्यूलर सुरक्षा नियमों के विरुद्ध प्रदाता इन्वेंटरी को प्रोसेस करते हैं।
आर्टिफैक्ट एक्सपोर्ट और रन-ओवर-रन डिफिंग (nhi/services/export.py, nhi/remediation/diff.py): ऐतिहासिक बेसलाइन स्कैन के विरुद्ध सुरक्षा ड्रिफ्ट की गणना करता है, क्लाउड स्टोरेज में एक्ज़ीक्यूशन आर्टिफैक्ट अपलोड करता है, और ऑडिट पाइपलाइन के लिए निष्कर्षों को CSV और OASIS SARIF v2.1.0 में एक्सपोर्ट करता है।
रेमेडिएशन और पॉलिसी सर्जरी (nhi/remediation/): AST-स्तरीय पॉलिसी स्टेटमेंट विभाजन (policy_surgery.py) और ड्राई-रन सिमुलेशन मोड तथा nhi-ignore.yaml छूट के साथ गैर-विनाशकारी कंटेनमेंट बाउंड्रीज़/की डीएक्टिवेशन।

⚡ इंजीनियरिंग ऑप्टिमाइज़ेशन

AWS सत्र कैशिंग

इन्वेंटरी संग्रह के दौरान अनावश्यक AWS STS प्रमाणीकरण कॉल को समाप्त करने के लिए, प्रमाणित boto3.Session ऑब्जेक्ट्स को Python प्रक्रिया के जीवनकाल के लिए nhi/aws/session.py में कैश किया जाता है।

nhi-risk-analyzer

सबसे लोकप्रिय