aws-perimeter

Uno Scanner di Sicurezza AWS basato su terminale con oltre 100 controlli di sicurezza su VPC, IAM, S3, CloudTrail, container (ECS/EKS) e rilevamento di attacchi AI. Rileva permessi IAM pericolosi, segreti esposti, bucket S3 malconfigurati, vulnerabilità dei container e minacce emergenti di LLMjacking.

Panoramica del prodotto: docs/CAPABILITIES_OVERVIEW.md

Caratteristiche

Sicurezza VPC

• Analisi dei gruppi di sicurezza (SSH/RDP aperti, porte database)
• Rilevamento esposizione pubblica e rischi porte di gestione
• Analisi ACL di rete e audit dei log di flusso VPC
• Rischi di peering VPC, rilevamento bastion host
• Stato NAT Gateway e copertura endpoint VPC

Sicurezza IAM

• Rilevamento escalation privilegi (17 modelli)
• Credenziali obsolete (90+ giorni)
• Analisi trust cross-account
• Lacune nell'applicazione dell'MFA
• Policy eccessivamente permissive (*:*)
• Role chaining, external ID, permission boundary

Sicurezza S3

• Rilevamento bucket pubblici
• Audit crittografia e policy bucket rischiose
• Stato blocco accesso pubblico
• Scoperta file/oggetti sensibili (.env, .git, credenziali)
• Rilevamento segreti in testo profondo negli oggetti S3

CloudTrail e Logging

• Lacune nella copertura dei trail e logging multi-regione
• Stato validazione log
• Integrazione CloudWatch Logs

Rilevamento Segreti

• Variabili d'ambiente Lambda (10 modelli di segreti)
• Scansione pacchetto di deployment Lambda (ZIP)
• Scansione dati utente EC2
• Scansione contenuto oggetti S3 pubblici
• Scansione layer immagine ECR per credenziali incorporate
• Chiavi AWS, token GitHub/Slack/Stripe

Sicurezza Container (NUOVO)

Sicurezza ECS (10 controlli)

• Container privilegiati
• Segreti in variabili d'ambiente
• Esposizione IP pubblico
• Modalità rete host
• Immagini non ECR
• Filesystem root scrivibile
• Capacità Linux pericolose
• ECS Exec abilitato
• Stato Container Insights
• Ruolo attività admin

Sicurezza EKS (12 controlli)

• Accesso endpoint pubblico
• Endpoint privato disabilitato
• Logging del piano di controllo
• Crittografia segreti
• Versione Kubernetes
• Provider OIDC per IRSA
• Modalità autenticazione legacy
• Nodi in subnet pubbliche
• Accesso SSH non limitato
• Ruolo IAM nodo a livello admin
• Tipo AMI (preferenza Bottlerocket)

Rilevamento Attacchi AI (NUOVO)

Basato su intelligence sulle minacce di febbraio 2025: violazione AWS in 8 minuti

• Monitoraggio Istanze GPU: Rilevamento istanze p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1
• Esposizione Pubblica GPU: Istanze GPU con IP pubblici
• Rischio IMDSv1 GPU: Istanze GPU vulnerabili a furto credenziali
• Abuso Bedrock: Rilevamento throughput provisioning ad alta capacità
• Modelli Personalizzati: Addestramento modelli Bedrock non autorizzato
• Logging Bedrock: Assenza logging invocazione modello
• Provisioning Rapido: Rilevamento throttling API EC2 (pattern di attacco)

Riepilogo Controlli di Sicurezza

Categoria	Conteggio
Core (IAM, VPC, S3, CloudTrail, Segreti)	38
Estesi (Lambda, ELB, Route53, Inspector, ecc.)	35
Sicurezza Container (ECS + EKS)	22
Rilevamento Attacchi AI	7
Totale	102

Controlli di Sicurezza Critici

Controllo	Gravità	Descrizione
Escalation Privilegi	🔴 Critico	L'utente può escalare ad admin
Accesso Admin (:)	🔴 Critico	Accesso completo AWS concesso
Segreti Esposti	🔴 Critico	Chiavi API/token in Lambda/EC2
Bucket S3 Pubblico	🔴 Critico	Bucket accessibile pubblicamente
Nessun CloudTrail	🔴 Critico	Nessun logging di audit
SSH/RDP Aperti	🔴 Critico	Porta 22/3389 verso internet
Container Privilegiato	🔴 Critico	Container ECS con accesso root
GPU IMDSv1	🔴 Critico	Credenziali istanza GPU vulnerabili
Trust Cross-Account	🟠 Alto	Account esterno può assumere ruolo
Endpoint Pubblico EKS	🟠 Alto	API Kubernetes accessibile pubblicamente
Bedrock Nessun Logging	🟠 Alto	Utilizzo modello AI non auditato

Prerequisiti

1. AWS CLI Installato

# macOS
brew install awscli

# Linux
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install

2. Credenziali AWS Configurate

aws configure
# oppure utilizza profili nominativi
aws configure --profile myprofile

3. Permessi IAM Richiesti

Le tue credenziali AWS devono avere accesso di sola lettura ai servizi sottoposti a scansione. La policy gestita AWS ReadOnlyAccess funziona, oppure consulta Permessi Richiesti qui sotto.

Nota: aws-perimeter esegue solo operazioni di lettura e non modifica mai le tue risorse AWS.

Installazione

Installazione Veloce (macOS/Linux)

curl -sSfL https://raw.githubusercontent.com/thirukguru/aws-perimeter/main/install.sh | sh

Utilizzando Go

go install github.com/thirukguru/aws-perimeter@latest

Utilizzo

aws-perimeter                          # Esegue scansione di sicurezza completa
aws-perimeter --output json            # Output JSON
aws-perimeter --profile prod           # Profilo AWS specifico
aws-perimeter --region us-west-2       # Regione specifica
aws-perimeter --regions us-east-1,us-west-2            # Scansione multi-regione
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4  # Multi-regione con concorrenza controllata
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4 --best-effort  # Esce con successo se almeno una regione ha successo
aws-perimeter --rules                   # Stampa RULES.md su stdout (Markdown)
aws-perimeter --capabilities            # Stampa panoramica capacità su stdout (Markdown)
aws-perimeter --all-regions                            # Scansiona tutte le regioni abilitate
aws-perimeter --org-scan --org-role-name OrganizationAccountAccessRole  # Scansione org multi-account
aws-perimeter --org-scan --max-parallel 5              # Concorrenza org+regione fanout
aws-perimeter --output html --output-file report.html  # Genera report HTML
aws-perimeter --store --profile prod --region us-west-2 # Esegui + persisti scansione
aws-perimeter --trends --trend-days 30 --account-id 123456789012  # Mostra tabella trend storici
aws-perimeter history list --db-path ~/.aws-perimeter/history.db
aws-perimeter dashboard --port 8080

Per le modalità fanout (--regions, --all-regions, --org-scan) con --output html --output-file ..., aws-perimeter scrive un report per unità di scansione con suffissi regione/account + timestamp (ad esempio security-report-us-east-1-20260210-213045.html o security-report-123456789012-us-east-1-20260210-213045.html). In modalità HTML, l'output della tabella terminale viene soppresso e vengono stampate solo righe di riepilogo concise.

Modalità Automazione JSON

Quando si utilizza --output json, aws-perimeter emette un singolo documento JSON valido senza banner/rumore di spinner, quindi è sicuro per pipeline.