nuvola

nuvola（小文字の n）は、AWS環境の設定やサービスを対象に、事前定義された拡張可能なカスタムルール（シンプルなYaml構文で作成）を用いて、自動および手動によるセキュリティ分析を実行するためのツールです。

このプロジェクトの背後にある一般的な考え方は、クラウドプラットフォームの抽象化されたデジタルツインを作成することです。より具体的な例としては、nuvola は Active Directory 分析に使用される BloodHound の特性を反映していますが、クラウド環境（現時点では AWS のみ）を対象としています。

グラフデータベースを使用することで、異なる革新的な攻撃経路を見つける可能性も高まり、オフラインで集中管理された軽量なデジタルツインとして使用できます。

クイックスタート

要件

• docker-compose がインストールされていること
• AWS アカウントが awscli で使用できるように設定され、クラウドリソースへのフルアクセス権があること（できれば ReadOnly モード、ポリシー arn:aws:iam::aws:policy/ReadOnlyAccess で十分）

セットアップ

1. リポジトリをクローンする

git clone --depth=1 https://github.com/primait/nuvola.git; cd nuvola

2. 必要に応じて .env ファイルを作成し 編集 して、DBのユーザー名/パスワード/URLを設定する

cp .env_example .env;

Neo4jに割り当てるメモリサイズを、低RAMデバイスでツールを実行する場合に編集する必要があるかもしれません。

3. Neo4j Docker インスタンスを起動する

make start-containers

4. ツールをビルドする

make build

使用方法

1. まず、サポートされているすべての AWS サービスの設定をダンプし、データを Neo4j データベースにロードする必要があります：

./nuvola dump --aws-profile default_RO --output-dir ~/DumpDumpFolder --output-format zip

2. 以前に実行したダンプ操作を Neo4j データベースにインポートするには：

./nuvola assess --import ~/DumpDumpFolder/nuvola-default_RO_20220901.zip

3. 事前定義されたルールセット を使用して、Neo4j データベースにロードされたデータに対して静的な評価のみを実行するには：

./nuvola assess

4. または Neo4j Browser を使用して、デジタルツインを手動で探索します。

トラブルシューティング

もし .env_example を流用する場合、NEO4J_server_memory_* Neo4j メモリ設定が大きすぎて、ホストシステムのメモリ不足により Docker コンテナがクラッシュする可能性があります。NEO4J_server_memory_* 行を削除すると、Neo4j は利用可能なシステムリソースに基づいてこれらの値を計算します（参照）。

nuvolaについて

nuvola とそのデータベーススキーマを使い始めるには、nuvola Wiki を参照してください。

Prima Assicurazioni にデータが送信されたり共有されたりすることはありません。

貢献方法

• バグや問題の報告
• 新しい改善点の報告
• イシューやプルリクエストのレビュー
• バグや問題の修正
• 新しいルールの作成
• 全体的な品質の向上

プレゼンテーション

• RomHack 2022

  • スライド
  • デモ

• DevSecCon 2024

  • アジェンダ
  • 動画

ライセンス

nuvola はグラフ理論を利用して、クラウド環境における潜在的な攻撃経路やセキュリティの設定ミスを明らかにします。

このプログラムはフリーソフトウェアです。あなたはこれを、フリーソフトウェア財団によって発行された GNU 一般公衆利用許諾書（バージョン3、または（あなたの選択により）それ以降のバージョン）の定める条件の下で再頒布または改変することができます。

このプログラムは有用であることを願って頒布されますが、全くの無保証 であり、暗黙の保証（特定目的への適合性や商品性の保証）も含め、一切の保証もありません。詳細は GNU 一般公衆利用許諾書をご覧ください。

このリポジトリおよびプログラムとともに GNU 一般公衆利用許諾書の写しを受け取っているはずです。そうでない場合は、http://www.gnu.org/licenses/ をご覧ください。