cartography

Cartography è uno strumento Python che estrae asset infrastrutturali e le loro relazioni in un database a grafo Neo4j.

Cosa collega: AWS, GCP, Azure, Kubernetes, GitHub, Okta, Entra ID, CrowdStrike e oltre 30 altre piattaforme.

A quali domande risponde:

• Quali identità hanno accesso a quali datastore? E tra più tenant o provider?
• Sono interessato da vulnerabilità critiche o pacchetti software compromessi?
• Quali sono i percorsi di rete in entrata e in uscita dal mio ambiente?
• Quali istanze di calcolo sono esposte a Internet?
• Quali agenti AI sono in esecuzione in produzione e quali permessi hanno?

Avvio rapido

Installare Cartography

pip install cartography

Installa invece cartography[neo4j-rust] per utilizzare il codec Rust Bolt di Neo4j, che riduce il tempo di sincronizzazione di circa il 20-30%. Vedi Driver Neo4j più veloce.

Avviare il database Neo4j

docker run -d --publish=7474:7474 --publish=7687:7687 -v data:/data --env=NEO4J_AUTH=none neo4j:5-community

Verifica che http://localhost:7474 sia attivo.

Sincronizzare la prima fonte di dati (esempio AWS)

Assicurati che le tue credenziali AWS e la regione predefinita siano configurate (ad esempio tramite AWS_PROFILE, AWS_DEFAULT_REGION o ~/.aws/config). Consulta la documentazione sulle credenziali AWS per riferimento.

Esegui Cartography:

cartography --neo4j-uri bolt://localhost:7687 --selected-modules aws

Consulta la guida completa all'installazione per altre piattaforme.

Interrogare il grafo

Apri http://localhost:7474 e prova:

// Find unencrypted RDS instances by account
MATCH (a:AWSAccount)-[:RESOURCE]->(rds:AWSRDSInstance{storage_encrypted:false})
RETURN a.name, rds.id

// Find EC2 instances exposed to the internet
MATCH (instance:AWSEC2Instance{exposed_internet: true})
RETURN instance.instanceid, instance.publicdnsname

Consulta il tutorial sulle query e lo schema dei dati per altri casi d'uso.

Eseguire le regole di sicurezza

Una volta che Cartography ha popolato il grafo Neo4j raggiungibile, elenca, ispeziona ed esegui le regole di sicurezza. Questo avvio rapido utilizza il container Neo4j senza autenticazione avviato sopra, quindi non è richiesta alcuna password:

cartography-rules list
cartography-rules list object_storage_public
cartography-rules run object_storage_public

Per Neo4j autenticato, imposta NEO4J_PASSWORD o usa una delle altre opzioni sicure per la password nella documentazione delle regole.

Piattaforme supportate

Clicca per espandere l'elenco completo delle oltre 30 piattaforme supportate