appliscale/cloud-security-auditUno strumento di audit di sicurezza da riga di comando per Amazon Web Services
Uno strumento di audit di sicurezza da riga di comando per Amazon Web Services
Cloud Security Audit è uno strumento da riga di comando che scansiona le vulnerabilità nel tuo account AWS. In modo semplice sarai in grado di identificare le parti non sicure della tua infrastruttura e preparare il tuo account AWS per un audit di sicurezza.
Attualmente Cloud Security Audit non supporta alcun gestore di pacchetti, ma il lavoro è in corso.
Per prima cosa devi scaricare Cloud Security Audit nel tuo workspace Go:
$GOPATH $ go get github.com/Appliscale/cloud-security-audit
$GOPATH $ cd cloud-security-audit
Poi compila e installa la configurazione per l'applicazione all'interno della directory cloud-security-audit eseguendo:
cloud-security-audit $ make all
Se stai usando MFA devi dire a Cloud Security Audit di autenticarti prima di tentare la connessione usando il flag --mfa.
Esempio:
$ cloud-security-audit --service s3 --mfa --mfa-duration 3600
Per eseguire un audit su tutte le istanze EC2, digita:
$ cloud-security-audit --service ec2
Puoi restringere l'audit a una regione usando il flag -r o --region. Cloud Security Audit supporta anche i profili AWS - per specificare un profilo usa il flag -p o --profile.
+---------------+---------------------+--------------------------------+-----------------------------------+----------+
| AVAILABILITY | EC2 | VOLUMES | SECURITY | |
| | | | | EC2 TAGS |
| ZONE | | (NONE) - NOT ENCRYPTED | GROUPS | |
| | | | | |
| | | (DKMS) - ENCRYPTED WITH | (INCOMING CIDR = 0.0.0.0/0) | |
| | | DEFAULT KMSKEY | | |
| | | | ID : PROTOCOL : PORT | |
+---------------+---------------------+--------------------------------+-----------------------------------+----------+
| eu-central-1a | i-0fa345j6756nb3v23 | vol-0a81288qjd188424d[DKMS] | sg-aaaaaaaa : tcp : 22 | App:some |
| | | vol-0c2834re8dfsd8sdf[NONE] | sg-aaaaaaaa : tcp : 22 | Key:Val |
+---------------+---------------------+--------------------------------+-----------------------------------+----------+
AVAILABILITY ZONE contiene informazioni su dove è posizionata l'istanza.EC2 contiene l'ID dell'istanza.Volumes contiene gli ID dei volumi (dischi virtuali) collegati alla determinata EC2. Significato dei suffissi:
[NONE] - Volume non crittografato.[DKMS] - Volume crittografato utilizzando la chiave KMS predefinita di AWS. Maggiori informazioni su KMS le trovi qui.Security Groups contiene gli ID dei gruppi di sicurezza che hanno permessi troppo aperti. Ad esempio, il blocco CIDR è uguale a 0.0.0.0/0 (aperto a tutto il mondo).EC2 TAGS contiene i tag di una determinata istanza EC2 per aiutarti a identificare lo scopo di questa istanza.Puoi trovare maggiori informazioni sulla crittografia nella seguente documentazione:
Per eseguire un audit su tutti i bucket S3, digita:
$ cloud-security-audit --service s3
Cloud Security Audit supporta i profili AWS - per specificare un profilo usa il flag -p o --profile.
+------------------------------+---------+---------+-------------+------------+
| BUCKET NAME | DEFAULT | LOGGING | ACL | POLICY |
| | | | | |
| | SSE | ENABLED | IS PUBLIC | IS PUBLIC |
| | | | | |
| | | | R - READ | R - READ |
| | | | | |
| | | | W - WRITE | W - WRITE |
| | | | | |
| | | | D - DELETE | D - DELETE |
+------------------------------+---------+---------+-------------+------------+
| bucket1 | NONE | true | false | false |
+------------------------------+---------+---------+-------------+------------+
| bucket2 | DKMS | false | false | true [R] |
+------------------------------+---------+---------+-------------+------------+
| bucket3 | AES256 | false | true [RWD] | false |
+--------------------------- --+---------+---------+-------------+------------+
BUCKET NAME contiene i nomi dei bucket S3.DEFAULT SSE ti fornisce informazioni su quale tipo predefinito di crittografia lato server è stato utilizzato nel tuo bucket S3:NONE - SSE predefinito non abilitato.DKMS - SSE predefinito abilitato, chiave KMS AWS utilizzata per crittografare i dati.AES256 - SSE predefinito abilitato, AES256.LOGGING ENABLED contiene informazioni se il logging dell'accesso al server è stato abilitato per un determinato bucket S3. Questo fornisce registri dettagliati per le richieste effettuate a un bucket S3. Maggiori informazioni sul Server Access Logging si trovano qui.ACL IS PUBLIC fornisce informazioni se l'ACL (Access Control List) contiene permessi che rendono pubblico il bucket (consentono letture/scritture a chiunque). Maggiori informazioni sulle ACL qui.POLICY IS PUBLIC contiene informazioni se la politica del bucket consente qualsiasi azione (lettura/scrittura) per un utente anonimo. Maggiori informazioni sulle politiche dei bucket qui.
Le lettere R, W e D descrivono quale tipo di azione è disponibile per tutti.Puoi trovare ulteriori informazioni sulla protezione dei tuoi S3 nelle seguenti documentazioni: