CloudMapper

Nota la funzionalità Network Visualization (comando prepare) non è più mantenuta.

CloudMapper ti aiuta ad analizzare i tuoi ambienti Amazon Web Services (AWS). Lo scopo originale era generare diagrammi di rete e mostrarli nel tuo browser (funzionalità non più mantenuta). Ora contiene molte più funzionalità, inclusa la verifica di problemi di sicurezza.

Comandi

audit: Controlla potenziali configurazioni errate.
collect: Raccoglie metadati su un account. Maggiori dettagli qui.
find_admins: Analizza le policy IAM per identificare utenti e ruoli amministratori, o entità con privilegi specifici. Maggiori dettagli qui.
find_unused: Cerca risorse inutilizzate nell'account. Trova Security Group, Elastic IP, interfacce di rete, volumi e bilanciatori di carico elastici inutilizzati.
prepare/webserver: Vedi Visualizzazioni di rete
public: Trova host pubblici e intervalli di porte. Maggiori dettagli qui.
sg_ips: Ottieni informazioni geoip sui CIDR fidati nei Security Group. Maggiori dettagli qui.
stats: Mostra conteggi di risorse per account. Maggiori dettagli qui.
weboftrust: Mostra Web Of Trust. Maggiori dettagli qui.
report: Genera report HTML. Include riepilogo degli account e risultati di audit. Maggiori dettagli qui.
iam_report: Genera report HTML per le informazioni IAM di un account. Maggiori dettagli qui.

Se vuoi aggiungere i tuoi comandi privati, puoi creare una directory private_commands e aggiungerli lì.

Screenshot

Installazione

Requisiti:

python 3 (3.7.0rc1 è noto per funzionare), pip, e virtualenv
Avrai anche bisogno di jq (https://stedolan.github.io/jq/) e della libreria pyjq (https://github.com/doloopwhile/pyjq), che richiedono alcuni strumenti aggiuntivi che verranno mostrati.

Su macOS:

# clone the repo
git clone https://github.com/duo-labs/cloudmapper.git
# Install pre-reqs for pyjq
brew install autoconf automake awscli freetype jq libtool python3
cd cloudmapper/
python3 -m venv ./venv && source venv/bin/activate
pip install --prefer-binary -r requirements.txt

Su Linux:

# clone the repo
git clone https://github.com/duo-labs/cloudmapper.git
# (AWS Linux, Centos, Fedora, RedHat etc.):
# sudo yum install autoconf automake libtool python3-devel.x86_64 python3-tkinter python-pip jq awscli
# (Debian, Ubuntu etc.):
# You may additionally need "build-essential"
sudo apt-get install autoconf automake libtool python3.7-dev python3-tk jq awscli
cd cloudmapper/
python3 -m venv ./venv && source venv/bin/activate
pip install -r requirements.txt

Esecuzione con dati demo

Un piccolo set di dati demo è fornito. Questo mostrerà lo stesso ambiente del sito demo https://duo-labs.github.io/cloudmapper/

# Generate the data for the network map
python cloudmapper.py prepare --config config.json.demo --account demo
# Generate a report
python cloudmapper.py report --config config.json.demo --account demo
python cloudmapper.py webserver

Questo avvierà un webserver locale all'indirizzo http://127.0.0.1:8000/ Visualizza la mappa di rete da quel link, oppure visualizza il report all'indirizzo http://127.0.0.1:8000/account-data/report.html

Configurazione

Configura le informazioni sul tuo account.
Raccogli informazioni su un account AWS.

1. Configura il tuo account

Copia config.json.demo in config.json e modificalo per includere l'ID e il nome del tuo account (es. "prod"), insieme a eventuali nomi CIDR esterni. Un CIDR è un intervallo IP come 1.2.3.4/32 che significa solo l'IP 1.2.3.4.

2. Raccogli i dati sull'account

Questo passaggio utilizza la CLI per effettuare chiamate describe e list e registra il json nella cartella specificata dal nome dell'account sotto account-data.

Privilegi AWS richiesti

Devi avere credenziali AWS configurate che possono essere utilizzate dalla CLI con permessi di lettura per i vari metadati da raccogliere. Raccomando di usare aws-vault. CloudMapper raccoglierà informazioni IAM, il che significa che DEVI usare MFA. Solo il passo collect richiede accesso AWS.

Devi avere i seguenti privilegi (questi concedono vari accessi in lettura ai metadati):

arn:aws:iam::aws:policy/SecurityAudit
arn:aws:iam::aws:policy/job-function/ViewOnlyAccess

Raccogli i dati

La raccolta dei dati viene effettuata come segue:

python cloudmapper.py collect --account my_account

Analizza i dati

Da qui, prova a eseguire i vari comandi, come:

python cloudmapper.py report --account my_account
python cloudmapper.py webserver

Poi visualizza il report nel tuo browser all'indirizzo 127.0.0.1:8000/account-data/report.html

Ulteriore configurazione

Generazione di un file di configurazione

Invece di modificare config.json direttamente, c'è un comando per configurare i dati lì, nel caso fosse necessario:

python cloudmapper.py configure {add-account|remove-account} --config-file CONFIG_FILE --name NAME --id ID [--default DEFAULT]
python cloudmapper.py configure {add-cidr|remove-cidr} --config-file CONFIG_FILE --cidr CIDR --name NAME

Questo ti permetterà di definire i diversi account AWS che usi nel tuo ambiente e gli IP CIDR noti.

Se usi AWS Organizations, puoi anche aggiungere automaticamente gli account membri dell'organizzazione a config.json usando:

python cloudmapper.py configure discover-organization-accounts

Devi essere autenticato alla CLI AWS e avere il permesso organization:ListAccounts prima di eseguire questo comando.

cloudmapper

Più Popolari