🦊 CloudFox 🦊

CloudFoxは、未知のクラウド環境での状況認識を支援します。これは、ペネトレーションテスターやその他の攻撃的セキュリティ専門家がクラウドインフラストラクチャ内の悪用可能な攻撃経路を見つけるのを支援するために作成されたオープンソースのコマンドラインツールです。

CLOUDFOX アップデート必須: (2025年12月): cloudfox を使用している場合、v1.17.0 以上を使用する必要があります。それ以前のバージョンはすべて、AWSの公開サービスマッピングファイルのフォーマット変更後、動作しなくなりました。

概要

CloudFoxは、以下のようなよくある質問（およびその他多くの質問）に答えるのに役立ちます：

このAWSアカウントが使用しているリージョンと、アカウント内のおおよそのリソース数は？
EC2のユーザーデータやサービス固有の環境変数に潜むシークレットは？
管理権限が付与されているワークロードは？
この[principal]はどのようなアクション/権限を持っているか？
過度に許可が緩い、またはクロスアカウントでの引き受けを許可しているロールトラストは？
外部起点（パブリックインターネット）から攻撃できるエンドポイント/ホスト名/IPは？
内部起点（VPC内での侵害を想定）から攻撃できるエンドポイント/ホスト名/IPは？
VPC内の侵害されたリソースからマウントできる可能性のあるファイルシステムは？

デモ、例、チュートリアル

意図的に脆弱なプレイグラウンド

CloudFoxable - ゲーム化されたクラウドハッキングサンドボックス

CloudFoxについて話したいですか？

RedSec Discordサーバーに参加してください。

クイックスタート

CloudFoxはモジュール式です（一度に1つのコマンドを実行できます）が、aws all-checksコマンドを使用すると、適切なデフォルト設定で他のawsコマンドをまとめて実行できます：

cloudfox aws --profile [profile-name] all-checks

ホワイトボックス列挙

CloudFoxは、限られた読み取り専用権限を持つプリンシパルによって実行されるように設計されていますが、その目的は、シミュレートされた侵害シナリオ（別名、目標ベースのペネトレーションテスト）で悪用可能な攻撃経路を見つけるのを支援することです。

ブラックボックス列挙

CloudFoxは、「発見された」認証情報で使用できます。これは、weirdAALやenumerate-iamを使用する方法と同様です。失敗したチェックは静かに失敗するため、返されたデータは、あなたの「発見された」認証情報がそれを取得するために必要なアクセス権を持っていることを意味します。

ドキュメント

完全なドキュメントについては、wikiを参照してください。

サポートされているクラウドプロバイダ

プロバイダ	CloudFoxコマンド
AWS	34
Azure	4
GCP	60
Kubernetes	サポート予定

インストール

オプション1: お使いのプラットフォーム向けの最新のバイナリリリースをダウンロードしてください。

オプション2: Homebrewを使用している場合: brew install cloudfox

オプション3: Goをインストールし、go install github.com/BishopFox/cloudfox@latestを使用してリモートソースからインストールします

オプション4: 開発者モード:

Goをインストールし、CloudFoxリポジトリをクローンしてソースからコンパイルします ```

git clone https://github.com/BishopFox/cloudfox.git

cd ./cloudfox

Make any changes necessary

go build .

./cloudfox

**オプション5:** バグ修正のテスト  ```
git clone [email protected]:BishopFox/cloudfox.git
git checkout seth-dev 
go build .
./cloudfox [rest of the command options]

前提条件

AWS

AWS CLIがインストールされていること
AWSプロファイル、AWS環境変数、またはメタデータ取得（EC2インスタンス上）をサポート
- 複数のプロファイルで同時にコマンドを実行するには、-lフラグを使用して改行区切りでプロファイル名のリストが記述されたファイルへのパスを指定するか、-aフラグを使用して保存されているすべてのプロファイルを渡します。
推奨されるポリシーのいずれかがアタッチされたプリンシパル（以下に説明）
推奨されるアタッチ済みポリシー: SecurityAudit + CloudFoxカスタムポリシー

追加のポリシーノート（2022年9月時点）:

ポリシー	備考
CloudFoxカスタムポリシー	cloudfoxが使用するすべての権限を完全にリストしており、それ以外は含まれない
`arn:aws:iam::aws:policy/SecurityAudit`	ほとんどのcloudfoxチェックをカバーするが、apprunner:、grafana:、lambda:GetFunctionURL、lightsail:GetContainerServicesなどの新しいサービスや権限が不足している
`arn:aws:iam::aws:policy/job-function/ViewOnlyAccess`	ほとんどのcloudfoxチェックをカバーするが、AppRunner:、grafana:、lambda:GetFunctionURL、lightsail:GetContainerServicesなどの新しいサービスや権限が不足しており、さらにiam:SimulatePrincipalPolicyも欠けている。
`arn:aws:iam::aws:policy/ReadOnlyAccess`	AppRunnerのみ不足しているが、`s3:Get*`など過度に寛容になり得る権限も付与する。
`arn:aws:iam::aws:policy/AdministratorAccess`	CloudFoxでは問題なく動作しますが、ペネトレーションテスターとしてこのレベルのアクセス権を付与された場合、それ自体が脆弱性発見対象となる可能性があります :)

Azure

Viewerまたは同様の権限が適用されていること。

GCP

Google Cloud SDKがインストールされ、認証済みであること
アプリケーションデフォルト認証情報が構成されていること（gcloud auth application-default login）
適切な階層レベルで推奨される権限が付与されていること（以下参照）

GCP権限: 最小限 vs 包括的

最小限の権限（単一プロジェクト）:

単一プロジェクトの基本的な列挙には、roles/viewer ロールでほとんどのリソースへの読み取りアクセスが提供されます（ログ、モニタリング、コンピュート/ネットワークの表示を含む）。

包括的な権限（組織全体）:

組織全体にわたる徹底的なセキュリティ評価を行う場合:

スコープ	ロール	目的
組織	`roles/resourcemanager.organizationViewer`	組織構造とメタデータを表示
組織	`roles/iam.securityReviewer`	組織全体のIAMポリシーをレビュー
組織	`roles/cloudasset.viewer`	Cloud Asset Inventoryですべてのリソースをクエリ
組織	`roles/cloudidentity.groupsViewer`	Googleグループとメンバーシップを列挙
フォルダ	`roles/resourcemanager.folderViewer`	フォルダ階層とメタデータを表示
プロジェクト	`roles/viewer`	ほとんどのプロジェクトリソースへの読み取りアクセス（logging.viewer、monitoring.viewer、compute.viewerを含む）
ツーリングプロジェクト	`roles/serviceusage.serviceUsageAdmin`	（オプション）CloudFox操作用のAPI割り当てを管理

注: 基本的な roles/viewer ロールには roles/logging.viewer、roles/monitoring.viewer、roles/compute.networkViewer の権限が含まれているため、これらを個別に付与する必要はありません。

GCP API要件

評価する各プロジェクトでAPIを有効にする必要があります。 GCP APIはプロジェクトスコープです。

API	サービス名	目的
Cloud Identity API	`cloudidentity.googleapis.com`	グループ列挙、継承ロール分析
Cloud Asset API	`cloudasset.googleapis.com`	プロジェクト間のリソース探索
Cloud Resource Manager API	`cloudresourcemanager.googleapis.com`	組織マッピング、IAM列挙
IAM API	`iam.googleapis.com`	IAM分析、権限昇格の検出
Compute Engine API	`compute.googleapis.com`	インスタンス列挙、ネットワークセキュリティ
Secret Manager API	`secretmanager.googleapis.com`	シークレット列挙
Cloud Functions API	`cloudfunctions.googleapis.com`	サーバーレス列挙
Cloud Run API	`run.googleapis.com`	サーバーレス列挙
Kubernetes Engine API	`container.googleapis.com`	コンテナセキュリティ分析
BigQuery API	`bigquery.googleapis.com`	データセキュリティ分析

詳細な設定手順については、GCPセットアップガイドを参照してください。

人気

cloudfox