🛡️ FuFuFaFa フレームワーク

統合された脆弱性・障害監査のためのフレームワーク
セキュリティ監査を眠いときでもできてしまうほど簡単にする究極の AWS クラウドセキュリティ監査フレームワーク！ 😴

主な機能 • 仕組み • インストール • クイックスタート • 使用ガイド • コントリビューション

🌟 主な機能

🔐 シークレット漏洩検出

AWS キー、API トークン、秘密鍵など 50 以上のパターンでリポジトリ内のハードコードされた認証情報をスキャンします。シャノンエントロピー検出も含まれます。

☁️ AWS の設定不備

S3、EC2、IAM、RDS、Lambda、VPC、CloudTrail を包括的にチェックし、クラウドインフラがベストプラクティスに従っていることを確認します。

📜 IaC スキャン

Checkov エンジンを使用して、Terraform、CloudFormation、Serverless、Kubernetes ファイルのセキュリティ上の欠陥をデプロイ前に分析します。

👤 IAM 権限分析

IAM 権限を可視化・分析し、グラフベースのマッピングを用いて権限昇格の経路や過剰に許可されたポリシーを検出します。

🔄 仕組み

FuFuFaFa はセキュリティ監査のワークフローを効率化します。以下がそのプロセスの流れです：

graph TD
    A[Start Scan] --> B{Select Scan Type}
    
    B -->|Secrets| C[Cloning Repository]
    C --> D[Regex & Entropy Analysis]
    D --> E[Git History Scan]
    
    B -->|Cloud| F[AWS API Calls]
    F --> G[Resource Enumeration]
    G --> H[Security Rule Check]
    
    B -->|IaC| I[Parse Infrastructure Code]
    I --> J[Checkov Policy Scan]
    
    B -->|IAM| K[Fetch IAM Policies]
    K --> L[Neo4j Graph Building]
    L --> M[Privilege Path Analysis]
    
    E --> N[Generate Report]
    H --> N
    J --> N
    M --> N
    
    N --> O((End))
    
    style A fill:#4F46E5,stroke:#333,stroke-width:2px,color:#fff
    style N fill:#10B981,stroke:#333,stroke-width:2px,color:#fff
    style O fill:#EF4444,stroke:#333,stroke-width:2px,color:#fff

🚀 インストール

前提条件

Python 3.9+
Docker & Docker Compose（永続ストレージ用）
AWS CLI 設定済み（クラウドスキャン用）

クイックインストール

# 1. Clone the repository
git clone https://github.com/Masriyan/FuFuFaFa.git
cd FuFuFaFa

# 2. Set up virtual environment
python -m venv .venv
source .venv/bin/activate  # On Windows: .venv\Scripts\activate

# 3. Install dependencies
pip install -e ".[dev]"

# 4. Start database services
docker-compose up -d postgres redis neo4j

# 5. Initialize database
fufufafa init-db

⚡ クイックスタート

数秒で使い始められます！

# 1. Verify installation
fufufafa --version

# 2. Run a secret scan on a local repo
fufufafa secret scan ./your-project

# 3. Scan your default AWS profile
fufufafa cloud scan

# 4. View help for more commands
fufufafa --help

📖 使用ガイド

🕵️ シークレットスキャン

コード内の隠れたシークレットを、git 履歴の奥深くにまで見つけ出します。

fufufafa secret scan ./target-repo --history

オプション:

--history: git の全履歴をスキャン
--entropy 4.5: カスタムエントロピーしきい値を設定
--json: 結果を JSON 形式で出力

☁️ クラウド監査

AWS 環境のセキュリティ上のギャップを監査します。

fufufafa cloud scan --profile production --regions us-east-1,us-west-2

オプション:

--profile: AWS CLI プロファイルを指定
--services s3,ec2,iam: コンテキストスキャン
--fix: 自動修復を試行（注意して使用してください！）

🏗️ IaC セキュリティ

インフラストラクチャコードをスキャンしてシフトレフトを実現します。

fufufafa iac scan ./terraform-files

🕸️ IAM 分析

権限パスを可視化し、危険なロールを特定します。

fufufafa iam analyze --graph

注：Neo4j サービスが実行中である必要があります。

🏗️ アーキテクチャ

FuFuFaFa フレームワークはモジュール性とスケーラビリティを重視して構築されています。

C4Context
    title System Context Diagram for FuFuFaFa

    Person(user, "Security Auditor", "Uses FuFuFaFa to audit cloud security.")
    System(fufufafa, "FuFuFaFa Framework", "CLI tool for scanning secrets, cloud config, IaC, and IAM.")
    
    System_Ext(aws, "AWS Cloud", "Target environment for auditing.")
    System_Ext(neo4j, "Neo4j Database", "Stores IAM graph relationships.")
    System_Ext(postgres, "PostgreSQL", "Stores finding results and reports.")
    
    Rel(user, fufufafa, "Runs CLI commands")
    Rel(fufufafa, aws, "Reads configuration via API")
    Rel(fufufafa, neo4j, "Queries/Updates Graph")
    Rel(fufufafa, postgres, "Persists Audit Data")

🤝 コミュニティとサポート

皆様からのコントリビューションを歓迎します！詳細はコントリビューションガイドをご覧ください。

バグを見つけましたか？ Issueを作成してください
セキュリティに関する懸念がありますか？ SECURITY.mdをご覧ください
行動規範については？ CODE_OF_CONDUCT.mdをご覧ください

FuFuFaFa Team が ❤️ と ☕ を込めて制作しました

人気

FuFuFaFa