Azure Security Posture Auditor

Uno strumento CLI leggero, in stile produzione, che controlla le configurazioni di sicurezza di Azure ed evidenzia le misconfigurazioni più comuni, rispecchiando ciò che Microsoft Defender for Cloud verifica internamente.

Controlli

ID	Categoria	Controllo	Gravità
AZ-001	RBAC	Owner / Contributor assegnato a livello di sottoscrizione	CRITICAL
AZ-002	RBAC	Owner / Contributor assegnato a livello di gruppo di risorse	HIGH
AZ-003	Network	NSG con regola di ingresso che consente 0.0.0.0/0	HIGH
AZ-004	Storage	Account di archiviazione con accesso pubblico ai BLOB abilitato	HIGH
AZ-005	Identity	Utente Entra ID senza MFA registrato	HIGH
AZ-006	Identity	Entità servizio con autorizzazioni Owner / Contributor	HIGH
AZ-007	Encryption	Disco gestito senza configurazione di crittografia esplicita	MEDIUM
AZ-008	Encryption	Key Vault esposto alla rete pubblica senza restrizioni del firewall	HIGH
AZ-009	Monitoring	Conservazione del registro attività inferiore a 90 giorni	MEDIUM
AZ-010	Monitoring	Microsoft Defender for Cloud non abilitato sui tipi di risorse chiave	HIGH
AZ-011	Monitoring	Key Vault senza registrazione diagnostica abilitata	MEDIUM
AZ-012	Compute	Macchina virtuale con IP pubblico collegato direttamente	MEDIUM
AZ-013	Compute	Macchina virtuale senza estensione di protezione degli endpoint	MEDIUM
AZ-014	Compute	Disco del sistema operativo della macchina virtuale senza Azure Disk Encryption (ADE)	MEDIUM
AZ-015	Network	Porta RDP 3389 esposta a internet tramite NSG	CRITICAL
AZ-016	Network	Porta SSH 22 esposta a internet tramite NSG	CRITICAL
AZ-017	Storage	Account di archiviazione che consente traffico non HTTPS	HIGH
AZ-018	Storage	Account di archiviazione che consente versioni TLS legacy (inferiori alla 1.2)	MEDIUM
AZ-019	Identity

Requisiti

Python 3.10+
Credenziali Azure configurate — una delle seguenti:
- az login (Azure CLI)
- Variabili d'ambiente: AZURE_CLIENT_ID, AZURE_CLIENT_SECRET, AZURE_TENANT_ID
- Identità gestita (quando in esecuzione su Azure)
Autorizzazioni RBAC di Azure richieste: Reader sulla sottoscrizione
Autorizzazioni Microsoft Graph richieste (per AZ-005, AZ-006, AZ-019):
- UserAuthenticationMethod.Read.All
- Application.Read.All

I controlli di identità (AZ-005, AZ-019) vengono ignorati senza problemi se le autorizzazioni dell'API Graph non sono disponibili: il resto dell'audit rimane invariato.

Installazione

pip install -e .

Utilizzo

# Full audit — all checks, all severities
azure-auditor

# Target a specific subscription
azure-auditor --subscription <subscription-id>

# Show only HIGH and CRITICAL findings
azure-auditor --severity HIGH

# Save JSON report to a specific directory
azure-auditor --output-dir ./reports

# Terminal output only
azure-auditor --no-json

# Verbose logging
azure-auditor --verbose

Oppure senza installare:

PYTHONPATH=src python -m azure_security_auditor.cli --subscription <id>

Output

Terminale — tabella formattata con Rich, ordinata per gravità (CRITICAL per prime):

╭──────────────────────────────────────────────────────────────────╮
│                    Azure Security Posture Audit                   │
│  Subscription:  My Production Subscription                        │
│  ID:            xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx             │
│  Run at:        2026-07-12T10:00:00Z                              │
│  Findings:      12 total  (2 CRITICAL  6 HIGH  4 MEDIUM  0 LOW)  │
╰──────────────────────────────────────────────────────────────────╯

 Severity    Check ID  Check                                     Resource         Detail
 ✖ CRITICAL  AZ-015    RDP Port 3389 Exposed to Internet...      /subscriptions/. ...
 ✖ CRITICAL  AZ-001    Owner Role Assigned at Subscription...    <principal-id>   ...
 ■ HIGH      AZ-010    Defender for Cloud Not Enabled — VMs      /subscriptions/. ...
 ...

JSON — Scritto in reports/azure_audit_<subscription>_<timestamp>.json.

Struttura del progetto

src/
  azure_security_auditor/
    cli.py                      # argparse entrypoint
    engine.py                   # ThreadPoolExecutor orchestrator
    models.py                   # Finding, AuditResult, Severity
    checks/
      rbac.py                   # AZ-001, AZ-002
      network.py                # AZ-003, AZ-015, AZ-016
      storage.py                # AZ-004, AZ-017, AZ-018
      identity.py               # AZ-005, AZ-019
      service_principals.py     # AZ-006
      encryption.py             # AZ-007, AZ-008, AZ-020
      monitoring.py             # AZ-009, AZ-010, AZ-011
      compute.py                # AZ-012, AZ-013, AZ-014
    reporters/
      terminal.py               # Rich table output
      json_reporter.py          # JSON file output

Autenticazione

Usa DefaultAzureCredential — tenta in ordine:

Variabili d'ambiente (AZURE_CLIENT_ID, AZURE_CLIENT_SECRET, AZURE_TENANT_ID)
Azure CLI (az login)
Identità gestita

CI/CD (Entità servizio)

export AZURE_CLIENT_ID="<app-id>"
export AZURE_CLIENT_SECRET="<secret>"
export AZURE_TENANT_ID="<tenant-id>"
azure-auditor --subscription <subscription-id>

Più Popolari

azure-security-auditor