CNAPPgoat

CNAPPgoat は、マルチクラウド対応の脆弱性を意図的に含んだ環境デプロイツールです。防御者やペネトレーションテスター向けの練習場を提供するために特別に設計されています。主な機能は、複数のクラウドサービスプロバイダにわたって意図的に脆弱な環境をデプロイし、脆弱性の悪用、検出、防止に関するスキルを磨くのに役立てることです。

警告: CNAPPgoat は脆弱な環境をデプロイします。安全で管理されたサンドボックス内でのみ使用してください。

はじめに

CNAPPgoat はコマンドラインインターフェース（CLI）ツールとして動作し、脆弱な環境を多数のクラウドサービスプロバイダにデプロイできます。Go で構築され、Pulumi および Pulumi Automation API を利用して、シームレスな環境デプロイを実現します。ユニークな特徴の 1 つはモジュール設計で、さまざまなクラウドサービスプロバイダや新しい脆弱環境への拡張が容易です。現在、CNAPPgoat は AWS、Azure、GCP をサポートしています。

CNAPPgoat を実行するための前提条件

• Pulumi
• 使用するクラウドプロバイダの Cloud SDK:
  • AWS CLI
  • Azure CLI
  • Google Cloud SDK

Pulumi の依存関係とプラグインは、最初の環境をプロビジョニングするときに、各シナリオの要件に応じてオンデマンドでインストールされます。そのため、初回のプロビジョニングは以降よりも少し時間がかかる場合があります。

インストール

Homebrew

CNAPPgoat は、macOS ユーザー向けに Homebrew パッケージマネージャーを使用して簡単にインストールできます。

brew tap ermetic-research/cnappgoat
brew install cnappgoat

macOS、Linux、macOS 向けリリースの直接ダウンロード

1. 最新リリースを こちら からダウンロードします。

   root@kitploit:~

   tar -xvf cnappgoat-<version>.tar.gz
   cd cnappgoat-<version>
   

2. （オプション）抽出したバイナリをシステムの PATH に追加する場合（必須ではありません。ローカルディレクトリから ./cnappgoat として実行することもできます）:

オプション A: PATH 内のディレクトリ（例: macOS および Linux の /usr/local/bin）に移動

mv cnappgoat /usr/local/bin/

オプション B: バイナリを含むディレクトリを PATH に追加

bash の場合:

echo 'export PATH=$PATH:<cnappgoat を含むディレクトリへのパス>' >> ~/.bashrc
source ~/.bashrc

zsh の場合:

echo 'export PATH=$PATH:<cnappgoat を含むディレクトリへのパス>' >> ~/.zshrc
source ~/.zshrc

<cnappgoat を含むディレクトリへのパス> は、cnappgoat バイナリが存在するディレクトリの絶対パスに置き換えてください。

使い方

NAME:
   cnappgoat - 脆弱性を意図的に含んだクラウドリソースをデプロイするためのマルチクラウドオープンソースツール

USAGE:
   cnappgoat [グローバルオプション] コマンド [コマンドオプション] [引数...]

VERSION:
   0.1.0-beta, date: 2023-08-02T13:02:46Z, commit: 6bef61857d9f3cf88215269df8976f96317711dc


COMMANDS:
   clean       作成したすべてのリソースをクリーンアップし、すべてのシナリオと関連ファイルを削除します
   describe    シナリオの説明を表示します
   destroy     CNAPPgoat モジュールのシナリオを破棄します
   list        CNAPPgoat モジュールのシナリオを一覧表示します
   provision   CNAPPgoat モジュールのシナリオをプロビジョニングします
   help, h     コマンド一覧または特定のコマンドのヘルプを表示します

GLOBAL OPTIONS:
   --debug        デバッグモードを有効にする（デフォルト: false）
   --help, -h     ヘルプを表示
   --version, -v  バージョンを表示

スペース区切りで複数の引数を使用できます。例:

cnappgoat provision <シナリオ-1> <シナリオ-2> <シナリオ-N>

フラグ:

• --module - モジュールでシナリオをフィルタリング（例: CSPM, CIEM, CWPP, DSPM, KSPM など）
• --platform - プラットフォームでシナリオをフィルタリング（例: AWS, Azure, GCP）
• --force - 強制モードを有効にする（pulumi cancel でロックされたスタックをアンロック）
• --debug - デバッグログを有効にする。

これらのフラグはコマンドフラグであり、コマンドの後に配置します。例:

cnappgoat provision --module CSPM --platform AWS

このコマンドは、すべての AWS CSPM シナリオをプロビジョニングします。

CNAPPgoat シナリオ

CNAPPgoat は、毎日最初の実行時に cnappgoat-scenarios リポジトリからシナリオをダウンロードします。これらのシナリオは、CNAPPgoat を実行すると自動的にダウンロードされ、~/.cnappgoat/scenarios ディレクトリに保存されます。

セットアップと設定

CNAPPgoat を使用する前に、AWS、Azure、GCP のクラウド認証情報を設定する必要があります。CNAPPgoat は各プロバイダのデフォルト認証情報を使用します。以下の手順に従って認証情報を設定してください。

AWS 認証情報

1. こちらの手順に従って AWS CLI をインストールします。

2. 次のコマンドを実行して AWS 認証情報を設定します:

   root@kitploit:~

   aws configure
   

   Access Key ID、Secret Access Key、デフォルトのリージョン名の入力を求められます。

Azure 認証情報

1. こちらの手順に従って Azure CLI をインストールします。

2. 次のコマンドを実行して Azure アカウントにログインします:

   root@kitploit:~

   az login
   

   新しいブラウザウィンドウが開き、ログインします。ログイン後、認証情報は将来の使用のために保存されます。

GCP 認証情報

1. こちらの手順に従って Google Cloud SDK をインストールします。

2. 次のコマンドを実行して Google Cloud で認証します:

   root@kitploit:~

   gcloud auth login
   

   新しいブラウザウィンドウが開き、ログインします。ログイン後、認証情報は将来の使用のために保存されます。

これらの認証情報を設定することで、CNAPPgoat を使用して AWS、Azure、GCP にシナリオをデプロイできるようになります。別のプロバイダで CNAPPgoat を使用する予定がある場合は、それに応じて認証情報を設定してください。

詳細情報

CNAPPgoat の詳細については、Ermetic ブログの記事をご覧ください: https://ermetic.com/blog/cloud/cnappgoat-multicloud-open-source-tool-for-deploying-vulnerable-by-design-cloud-resources/

謝辞

類似プロジェクト

CNAPPgoat は、検出および防止機能をテストするために、複数のクラウド上に幅広い脆弱なシナリオをプロビジョニングします。脆弱なクラウド環境を提供する他の優れたプロジェクトも存在し、それらは悪用、検出、CTF（キャプチャ・ザ・フラッグ）シナリオなど、異なる分野に焦点を当てています。私たちはこれらのツールやプロジェクトに触発され、ぜひチェックすることをお勧めします:

• Stratus Red Team by DataDog: 攻撃手法を細かく自己完結型でエミュレートできるツール
• Cloud Goat by Rhino Security Labs: 「脆弱性を意図的に含んだ」AWS デプロイツール。いくつかの「キャプチャ・ザ・フラッグ」形式のシナリオを作成・完了することで、クラウドサイバーセキュリティスキルを磨くことができます
• Kubernetes Goat by Madhu Akula: Kubernetes セキュリティを学び練習するための意図的に脆弱なクラスター環境
• TerraGoat by Bridgecrew: 「脆弱性を意図的に含んだ」Terraform リポジトリ
• CloudFoxable by BishopFox: ゲーム化されたクラウドハッキングサンドボックス

その他のチャレンジやツールは、Mike Privitte による Awesome Cloud Security Challenges リポジトリにあります。私たちのリストは、ユーザーが自身のサンドボックスにデプロイする脆弱性を意図的に含んだクラウド環境に特化しています。

連絡先

プロジェクトチームへのメールは、[email protected] までお願いします。

免責事項

• CNAPPgoat は「現状のまま」提供され、いかなる保証やサポートもありません。
• これはベータ版です。プロジェクトはまだ開発中であり、成長の痛みについてご了承ください。安定版は数週間以内にリリース予定です。