SkyWrapper

Panoramica

SkyWrapper è un progetto open-source che analizza i comportamenti dei token temporanei creati in un determinato account AWS. Lo strumento mira a trovare forme e usi sospetti di creazione di token temporanei per rilevare attività dannose nell'account. Lo strumento analizza l'account AWS e crea un foglio Excel che include tutti i token temporanei attualmente attivi. Un riepilogo dei risultati viene stampato a schermo dopo ogni esecuzione.

SkyWrapper DEMO:

---

Utilizzo

1. Compila i dati richiesti nel file config
2. Assicurati che i tuoi utenti abbiano le autorizzazioni necessarie per eseguire lo script (puoi verificarlo in IAM nella pagina di riepilogo dell'utente)
3. Esegui lo script Python

python SkyWrapper.py

Autorizzazioni

Per eseguire questo script, avrai bisogno almeno della seguente policy di autorizzazioni:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3TrailBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucketMultipartUploads",
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:ListMultipartUploadParts"
            ],
            "Resource": [
                "arn:aws:s3:::{cloudtrail_bucket_name}/*",
                "arn:aws:s3:::{cloudtrail_bucket_name}
            ]
        },
        {
            "Sid": "IAMReadPermissions",
            "Effect": "Allow",
            "Action": [
                "iam:ListAttachedRolePolicies",
                "iam:ListRolePolicies",
                "iam:GetRolePolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListRoles"
            ],
            "Resource": [
                "arn:aws:iam::*:policy/*",
                "arn:aws:iam::*:role/*"
            ]
        },
        {
            "Sid": "GLUEReadWritePermissions",
            "Effect": "Allow",
            "Action": [
                "glue:CreateTable",
                "glue:CreateDatabase",
                "glue:GetTable",
                "glue:GetDatabase"
            ],
            "Resource": "*"
        },
        {
            "Sid": "CLOUDTRAILReadPermissions",
            "Effect": "Allow",
            "Action": [
                "cloudtrail:DescribeTrails"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ATHENAReadPermissions",
            "Effect": "Allow",
            "Action": [
                "athena:GetQueryResults",
                "athena:StartQueryExecution",
                "athena:GetQueryExecution"
            ],
            "Resource": "arn:aws:athena:*:*:workgroup/*"
        },
        {
            "Sid": "S3AthenaResultsBucketPermissions",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:ListBucketMultipartUploads",
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:ListMultipartUploadParts"
            ],
            "Resource": "arn:aws:s3:::aws-athena-query-results-*"
        }
    ]
}

Assicurati di modificare "{trail_bucket}" con il nome del bucket del tuo trail!

Nel caso in cui tu abbia più di un trail e desideri utilizzare lo script anche su di essi, devi aggiungerli anche alla sezione delle risorse della policy delle autorizzazioni.

Configurazione

"config.yaml" è il file di configurazione. Nella maggior parte dei casi, puoi lasciare la configurazione così com'è. Nel caso in cui tu debba modificarla, il file di configurazione è documentato.

athena: # Athena configuration
  database_name: default # The name of the database Athena uses for querying the trail bucket.
  table_name: cloudtrail_logs_{table_name} # The table name of the trail bucket name
  output_location: s3://aws-athena-query-results-{account_id}-{region}/ # The default output location bucket for the query results
output:
  excel_output_file: run_results_{trail}_{account_id}-{date}.xlsx # Excel results file
  summary_output_file: run_summary_{trail}_{account_id}-{date}.txt # Summary text results file
verify_https: True # Enable/ Disable verification of SSL certificates for HTTP requests
account:
    account_id: 0 # The account id - Keep it as 0 in case you don't know it
    aws_access_key_id: # If you keep it empty, the script will look after the default AWS credentials stored in ~/.aws/credentials
    aws_secret_access_key: # If you keep it empty, the script will look after the default AWS credentials stored in ~/.aws/credentials
    aws_session_token: # If you keep it empty, the script will look after the default AWS credentials stored in ~/.aws/credentials

---

Riferimenti:

Per ulteriori commenti, suggerimenti o domande, puoi contattare Omer Tsarfati (@OmerTsarfati) e CyberArk Labs. Puoi trovare altri progetti sviluppati da noi su https://github.com/cyberark/.