Framework per l'auditing unificato di difetti e vulnerabilità Il framework definitivo per l'audit della sicurezza di AWS Cloud che rende l'auditing di sicurezza così semplice da poterlo fare anche quando sei assonnato!
Framework per l'Audit Unificato di Vulnerabilità e Difetti
Il framework definitivo per l'audit di sicurezza del cloud AWS che rende l'audit di sicurezza così semplice che puoi farlo anche quando hai sonno! 😴
Caratteristiche Principali • Come Funziona • Installazione • Avvio Rapido • Guida all'Uso • Contribuire
🔐 Rilevamento di Fughe di SegretiScansiona i repository alla ricerca di credenziali hardcoded con oltre 50 pattern, incluse chiavi AWS, token API e chiavi private. Include il rilevamento tramite entropia di Shannon. |
☁️ Configurazioni Errate AWSControlli completi per S3, EC2, IAM, RDS, Lambda, VPC e CloudTrail per garantire che la tua infrastruttura cloud segua le best practice. |
📜 Scansione IaCAnalizza file Terraform, CloudFormation, Serverless e Kubernetes alla ricerca di difetti di sicurezza prima del deployment utilizzando il motore Checkov. |
👤 Analisi dei Permessi IAMVisualizza e analizza i permessi IAM per rilevare percorsi di escalation dei privilegi e policy eccessivamente permissive tramite mappatura basata su grafi. |
FuFuFaFa semplifica il tuo flusso di lavoro per l'audit di sicurezza. Ecco il flusso del processo:
graph TD
A[Start Scan] --> B{Select Scan Type}
B -->|Secrets| C[Cloning Repository]
C --> D[Regex & Entropy Analysis]
D --> E[Git History Scan]
B -->|Cloud| F[AWS API Calls]
F --> G[Resource Enumeration]
G --> H[Security Rule Check]
B -->|IaC| I[Parse Infrastructure Code]
I --> J[Checkov Policy Scan]
B -->|IAM| K[Fetch IAM Policies]
K --> L[Neo4j Graph Building]
L --> M[Privilege Path Analysis]
E --> N[Generate Report]
H --> N
J --> N
M --> N
N --> O((End))
style A fill:#4F46E5,stroke:#333,stroke-width:2px,color:#fff
style N fill:#10B981,stroke:#333,stroke-width:2px,color:#fff
style O fill:#EF4444,stroke:#333,stroke-width:2px,color:#fff
# 1. Clone the repository
git clone https://github.com/Masriyan/FuFuFaFa.git
cd FuFuFaFa
# 2. Set up virtual environment
python -m venv .venv
source .venv/bin/activate # On Windows: .venv\Scripts\activate
# 3. Install dependencies
pip install -e ".[dev]"
# 4. Start database services
docker-compose up -d postgres redis neo4j
# 5. Initialize database
fufufafa init-db
Inizia a usarlo in pochi secondi!
# 1. Verify installation
fufufafa --version
# 2. Run a secret scan on a local repo
fufufafa secret scan ./your-project
# 3. Scan your default AWS profile
fufufafa cloud scan
# 4. View help for more commands
fufufafa --help
Trova segreti nascosti nel tuo codice, anche in profondità nella cronologia git.
fufufafa secret scan ./target-repo --history
Opzioni:
--history: Analizza l'intera cronologia git--entropy 4.5: Imposta una soglia di entropia personalizzata--json: Restituisce i risultati in formato JSONVerifica la presenza di lacune di sicurezza nel tuo ambiente AWS.
fufufafa cloud scan --profile production --regions us-east-1,us-west-2
Opzioni:
--profile: Specifica il profilo AWS CLI--services s3,ec2,iam: Scansione contestuale--fix: Tenta la correzione automatica (Usare con cautela!)Sposta la sicurezza a monte scansionando il codice della tua infrastruttura.
fufufafa iac scan ./terraform-files
Visualizza i percorsi delle autorizzazioni e individua i ruoli pericolosi.
fufufafa iam analyze --graph
Nota: richiede che il servizio Neo4j sia in esecuzione.
Il framework FuFuFaFa è progettato per modularità e scalabilità.
C4Context
title System Context Diagram for FuFuFaFa
Person(user, "Security Auditor", "Uses FuFuFaFa to audit cloud security.")
System(fufufafa, "FuFuFaFa Framework", "CLI tool for scanning secrets, cloud config, IaC, and IAM.")
System_Ext(aws, "AWS Cloud", "Target environment for auditing.")
System_Ext(neo4j, "Neo4j Database", "Stores IAM graph relationships.")
System_Ext(postgres, "PostgreSQL", "Stores finding results and reports.")
Rel(user, fufufafa, "Runs CLI commands")
Rel(fufufafa, aws, "Reads configuration via API")
Rel(fufufafa, neo4j, "Queries/Updates Graph")
Rel(fufufafa, postgres, "Persists Audit Data")
Accogliamo con piacere i contributi! Consulta la nostra Guida alla Contribuzione per i dettagli.
Realizzato con ❤️ e ☕ dal Team FuFuFaFa