aws-perimeter

एक टर्मिनल-आधारित AWS सुरक्षा स्कैनर जिसमें VPC, IAM, S3, CloudTrail, कंटेनर (ECS/EKS) और AI हमले का पता लगाने के लिए 100+ सुरक्षा जाँच शामिल हैं। यह खतरनाक IAM अनुमतियाँ, उजागर रहस्य, गलत कॉन्फ़िगर किए गए S3 बकेट, कंटेनर कमजोरियाँ और उभरते LLMjacking खतरों का पता लगाता है।

उत्पाद अवलोकन: docs/CAPABILITIES_OVERVIEW.md

विशेषताएँ

🔒 VPC सुरक्षा

• सुरक्षा समूह विश्लेषण (खुले SSH/RDP, डेटाबेस पोर्ट)
• सार्वजनिक एक्सपोज़र का पता लगाना और प्रबंधन पोर्ट जोखिम
• नेटवर्क ACL विश्लेषण और VPC Flow Log ऑडिट
• VPC पीयरिंग जोखिम, बास्टियन होस्ट का पता लगाना
• NAT गेटवे स्थिति और VPC एंडपॉइंट कवरेज

🔑 IAM सुरक्षा

• विशेषाधिकार वृद्धि का पता लगाना (17 पैटर्न)
• पुराने क्रेडेंशियल्स (90+ दिन)
• क्रॉस-अकाउंट विश्वास विश्लेषण
• MFA प्रवर्तन अंतराल
• अत्यधिक अनुमेय नीतियाँ (*:*)
• भूमिका श्रृंखलन, बाहरी ID, अनुमति सीमाएँ

📦 S3 सुरक्षा

• सार्वजनिक बकेट का पता लगाना
• एन्क्रिप्शन ऑडिट और जोखिमपूर्ण बकेट नीतियाँ
• सार्वजनिक पहुँच ब्लॉक स्थिति
• संवेदनशील फ़ाइल/ऑब्जेक्ट खोज (.env, .git, क्रेडेंशियल्स)
• S3 ऑब्जेक्ट्स में डीप टेक्स्ट-कंटेंट रहस्य का पता लगाना

📋 CloudTrail और लॉगिंग

• ट्रेल कवरेज अंतराल और मल्टी-रीजन लॉगिंग
• लॉग सत्यापन स्थिति
• CloudWatch Logs एकीकरण

🔍 रहस्यों का पता लगाना

• Lambda env vars (10 रहस्य पैटर्न)
• Lambda डिप्लॉयमेंट पैकेज (ZIP) स्कैनिंग
• EC2 यूज़र डेटा स्कैनिंग
• सार्वजनिक S3 ऑब्जेक्ट सामग्री स्कैनिंग
• एम्बेडेड क्रेडेंशियल्स के लिए ECR इमेज लेयर स्कैनिंग
• AWS कुंजियाँ, GitHub/Slack/Stripe टोकन

🐳 कंटेनर सुरक्षा (नया)

ECS सुरक्षा (10 जाँचें)

• विशेषाधिकार प्राप्त कंटेनर
• पर्यावरण चर में रहस्य
• सार्वजनिक IP एक्सपोज़र
• होस्ट नेटवर्क मोड
• गैर-ECR इमेजेस
• लिखने योग्य रूट फ़ाइलसिस्टम
• खतरनाक Linux क्षमताएँ
• ECS Exec सक्षम
• Container Insights स्थिति
• व्यवस्थापक कार्य भूमिका

EKS सुरक्षा (12 जाँचें)

• सार्वजनिक एंडपॉइंट पहुँच
• निजी एंडपॉइंट अक्षम
• कंट्रोल प्लेन लॉगिंग
• रहस्य एन्क्रिप्शन
• Kubernetes संस्करण
• IRSA के लिए OIDC प्रदाता
• लीगेसी प्रमाणीकरण मोड
• सार्वजनिक सबनेट नोड्स
• अप्रतिबंधित SSH पहुँच
• व्यवस्थापक-स्तरीय नोड IAM भूमिका
• AMI प्रकार (Bottlerocket प्राथमिकता)

🤖 AI हमले का पता लगाना (नया)

फरवरी 2025 के खतरे की खुफिया जानकारी पर आधारित: 8 मिनट का AWS उल्लंघन

• GPU इंस्टेंस मॉनिटरिंग: p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1 इंस्टेंस का पता लगाना
• GPU सार्वजनिक एक्सपोज़र: सार्वजनिक IP वाले GPU इंस्टेंस
• GPU IMDSv1 जोखिम: क्रेडेंशियल चोरी के लिए संवेदनशील GPU इंस्टेंस
• Bedrock दुरुपयोग: उच्च-क्षमता प्रावधानित थ्रूपुट का पता लगाना
• कस्टम मॉडल: अनधिकृत Bedrock मॉडल प्रशिक्षण
• Bedrock लॉगिंग: मॉडल आह्वान लॉगिंग गायब
• त्वरित प्रावधान: EC2 API थ्रॉटल का पता लगाना (हमला पैटर्न)

सुरक्षा जाँच सारांश

महत्वपूर्ण सुरक्षा जाँचें

आवश्यक शर्तें

1. AWS CLI स्थापित

# macOS
brew install awscli

# Linux
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install

2. AWS क्रेडेंशियल्स कॉन्फ़िगर

aws configure
# या नामित प्रोफ़ाइल का उपयोग करें
aws configure --profile myprofile

3. आवश्यक IAM अनुमतियाँ

आपके AWS क्रेडेंशियल्स में स्कैन की जा रही सेवाओं तक केवल-पढ़ने की पहुँच होनी चाहिए। AWS प्रबंधित नीति ReadOnlyAccess काम करती है, या नीचे आवश्यक अनुमतियाँ देखें।

नोट: aws-perimeter केवल पढ़ने के संचालन करता है और आपके AWS संसाधनों को कभी संशोधित नहीं करता।

स्थापना

त्वरित स्थापना (macOS/Linux)

curl -sSfL https://raw.githubusercontent.com/thirukguru/aws-perimeter/main/install.sh | sh

Go का उपयोग करके

go install github.com/thirukguru/aws-perimeter@latest

उपयोग

aws-perimeter                          # पूर्ण सुरक्षा स्कैन चलाएँ
aws-perimeter --output json            # JSON आउटपुट
aws-perimeter --profile prod           # विशिष्ट AWS प्रोफ़ाइल
aws-perimeter --region us-west-2       # विशिष्ट क्षेत्र
aws-perimeter --regions us-east-1,us-west-2            # बहु-क्षेत्रीय स्कैन
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4  # नियंत्रित समवर्ती के साथ बहु-क्षेत्रीय
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4 --best-effort  # कम से कम एक क्षेत्र सफल होने पर सफलता से बाहर निकलें
aws-perimeter --rules                   # stdout पर RULES.md प्रिंट करें (Markdown)
aws-perimeter --capabilities            # stdout पर क्षमताओं का अवलोकन प्रिंट करें (Markdown)
aws-perimeter --all-regions                            # सभी सक्षम क्षेत्रों को स्कैन करें
aws-perimeter --org-scan --org-role-name OrganizationAccountAccessRole  # बहु-खाता संगठन स्कैन
aws-perimeter --org-scan --max-parallel 5              # Org+region fanout समवर्ती
aws-perimeter --output html --output-file report.html  # HTML रिपोर्ट उत्पन्न करें
aws-perimeter --store --profile prod --region us-west-2 # स्कैन चलाएँ + स्थायी रखें
aws-perimeter --trends --trend-days 30 --account-id 123456789012  # ऐतिहासिक प्रवृत्ति तालिका दिखाएँ
aws-perimeter history list --db-path ~/.aws-perimeter/history.db
aws-perimeter dashboard --port 8080

फैनआउट मोड (--regions, --all-regions, --org-scan) के लिए --output html --output-file ... के साथ, aws-perimeter प्रति स्कैन इकाई क्षेत्र/खाता + टाइमस्टैम्प प्रत्यय के साथ एक रिपोर्ट लिखता है (उदाहरण के लिए security-report-us-east-1-20260210-213045.html या security-report-123456789012-us-east-1-20260210-213045.html)। HTML मोड में, टर्मिनल तालिका आउटपुट दबा दिया जाता है और केवल संक्षिप्त सारांश पंक्तियाँ मुद्रित होती हैं।

JSON ऑटोमेशन मोड

जब --output json का उपयोग किया जाता है, तो aws-perimeter बिना किसी बैनर/स्पिनर शोर के एक एकल मान्य JSON दस्तावेज़ उत्सर्जित करता है, इसलिए यह पाइपलाइनों के लिए सुरक्षित है।

aws-perimeter --profile prod --region us-west-2 --output json | jq .

# बहु-क्षेत्रीय JSON एक एकत्रित शीर्ष-स्तरीय JSON दस्तावेज़ उत्सर्जित करता है:
aws-perimeter --profile prod --regions us-east-1,us-west-2 --output json | jq .

# stdout रीडायरेक्शन के माध्यम से दस्तावेज़ निर्यात करें
aws-perimeter --rules > rules.md
aws-perimeter --capabilities > capabilities.md

बहु-क्षेत्रीय JSON पेलोड में शामिल हैं:

• summary (total_regions, success, failed, skipped)
• results (प्रति-क्षेत्र समेकित स्कैन पेलोड)
• failures (क्षेत्र + त्रुटि विवरण जब कोई क्षेत्र स्कैन विफल होता है)

फैनआउट सारांश आउटपुट

गैर-JSON आउटपुट मोड में बहु-क्षेत्रीय और संगठन स्कैन के लिए, aws-perimeter निष्पादन के अंत में एक समेकित सारांश प्रिंट करता है:

• प्रति-स्कैन-इकाई पंक्तियाँ account_id, account_name, region, status, duration, और error के साथ।
• कुल योग (TOTAL, SUCCESS, FAILED, SKIPPED)।
• संगठन स्कैन के लिए खाता-स्तरीय रोलअप तालिका (प्रति खाता सफलता/विफलता/छोड़ने की गणना)।

--max-parallel और --best-effort

• --max-parallel फैनआउट मोड (--regions, --all-regions, --org-scan) में एक साथ चलने वाली क्षेत्र/खाता स्कैन इकाइयों की संख्या को नियंत्रित करता है।
• उच्च मान स्कैन को गति देते हैं लेकिन API दबाव और थ्रॉटलिंग/नेटवर्क विवाद की संभावना बढ़ाते हैं।
• अनुशंसित प्रारंभिक बिंदु: --max-parallel 3 या --max-parallel 4।
• --best-effort बहु-क्षेत्रीय स्कैन पर लागू होता है: जब कम से कम एक क्षेत्र सफल होता है तो कमांड सफलता (0) के साथ बाहर निकलता है, भले ही कुछ क्षेत्र विफल हों।
• --best-effort के बिना, कोई भी विफल क्षेत्र गैर-शून्य निकास कोड लौटाता है।
• JSON बहु-क्षेत्रीय आउटपुट में, विफल क्षेत्र सटीक त्रुटि के साथ failures के अंतर्गत दिखाई देते हैं।

फ़्लैग

आवश्यक AWS अनुमतियाँ

पूर्ण सुविधा कवरेज (बहु-क्षेत्रीय और संगठन स्कैन सहित) के लिए निम्नलिखित अनुमतियाँ आवश्यक हैं:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sts:GetCallerIdentity",
        "sts:AssumeRole",
        
        "organizations:DescribeOrganization",
        "organizations:ListAccounts",
        
        "ec2:Describe*",
        "ec2:GetEbsEncryptionByDefault",
        
        "iam:List*",
        "iam:Get*",
        "iam:GenerateCredentialReport",
        
        "s3:ListAllMyBuckets",
        "s3:GetBucket*",
        "s3:GetEncryptionConfiguration",
        
        "cloudtrail:DescribeTrails",
        "cloudtrail:GetTrailStatus",
        "cloudtrail:LookupEvents",
        
        "lambda:ListFunctions",
        "lambda:GetFunctionConfiguration",
        "lambda:GetFunction",
        
        "ecr:DescribeRepositories",
        "ecr:DescribeImages",
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        
        "ecs:ListClusters",
        "ecs:DescribeClusters",
        "ecs:ListServices",
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        
        "eks:ListClusters",
        "eks:DescribeCluster",
        "eks:ListNodegroups",
        "eks:DescribeNodegroup",
        
        "bedrock:ListProvisionedModelThroughputs",
        "bedrock:ListCustomModels",
        "bedrock:GetModelInvocationLoggingConfiguration",
        
        "guardduty:ListDetectors",
        "guardduty:GetDetector",
        "guardduty:ListFindings",
        "guardduty:GetFindings",
        
        "securityhub:DescribeHub",
        "securityhub:GetFindings",
        
        "config:Describe*",
        
        "kms:ListKeys",
        "kms:DescribeKey",
        "kms:GetKeyRotationStatus",
        "kms:Decrypt",
        
        "rds:DescribeDB*",
        
        "dynamodb:ListTables",
        "dynamodb:DescribeTable",
        "dynamodb:DescribeContinuousBackups",
        
        "secretsmanager:ListSecrets",
        
        "elasticloadbalancing:Describe*",
        
        "backup:List*",
        
        "apigateway:GET",
        
        "cloudfront:List*",
        "cloudfront:Get*",
        
        "cloudwatch:GetMetricStatistics",
        
        "sns:ListTopics",
        "sqs:ListQueues"
      ],
      "Resource": "*"
    }
  ]
}

kms:Decrypt केवल एन्क्रिप्टेड ऑब्जेक्ट्स/पैकेजों (उदाहरण के लिए SSE-KMS S3 ऑब्जेक्ट रीड) को स्कैन करते समय आवश्यक है। उत्पादन में इसे आवश्यक KMS कुंजियों तक सीमित करें।

--org-scan के लिए, प्रबंधन प्रिंसिपल को सदस्य-खाता भूमिका (डिफ़ॉल्ट: OrganizationAccountAccessRole) ग्रहण करने की अनुमति होनी चाहिए, उदाहरण के लिए:

{
  "Effect": "Allow",
  "Action": "sts:AssumeRole",
  "Resource": "arn:aws:iam::*:role/OrganizationAccountAccessRole"
}

सदस्य खाता भूमिका विश्वास नीति को आपके स्कैनर प्रिंसिपल (उपयोगकर्ता/भूमिका) को इसे ग्रहण करने की अनुमति देनी चाहिए (और यदि आप --external-id का उपयोग करते हैं तो sts:ExternalId शर्त शामिल करें)।

सुझाव: त्वरित शुरुआत के लिए, अपने IAM उपयोगकर्ता/भूमिका में AWS प्रबंधित नीति arn:aws:iam::aws:policy/ReadOnlyAccess संलग्न करें।

रोडमैप

चरण 3: उन्नत खतरे का पता लगाना

• STRIDE खतरा मॉडलिंग
• हमला पथ विश्लेषण
• डेटा निकासी का पता लगाना
• क्रिप्टो-माइनिंग संकेतक

चरण 4: उद्यम सुविधाएँ

• बहु-खाता संगठन समर्थन
• CI/CD एकीकरण
• SIEM निर्यात (Splunk, ELK)
• ऐतिहासिक रुझान

सारांश

लाइसेंस

Apache License 2.0