appliscale/cloud-security-auditAmazon Web Services를 위한 명령줄 보안 감사 도구
Amazon Web Services를 위한 명령줄 보안 감사 도구
Cloud Security Audit는 AWS 계정의 취약점을 스캔하는 명령줄 도구입니다. 쉽게 인프라의 안전하지 않은 부분을 식별하고 보안 감사를 위해 AWS 계정을 준비할 수 있습니다.
현재 Cloud Security Audit는 패키지 관리자를 지원하지 않지만 작업이 진행 중입니다.
먼저 Cloud Security Audit를 GO 워크스페이스에 다운로드해야 합니다:
$GOPATH $ go get github.com/Appliscale/cloud-security-audit
$GOPATH $ cd cloud-security-audit
그런 다음 cloud-security-audit 디렉터리 내에서 다음을 실행하여 애플리케이션 구성을 빌드하고 설치합니다:
cloud-security-audit $ make all
MFA를 사용하는 경우 --mfa 플래그를 사용하여 연결을 시도하기 전에 Cloud Security Audit에 인증을 지시해야 합니다.
예시:
$ cloud-security-audit --service s3 --mfa --mfa-duration 3600
모든 EC2 인스턴스에 대한 감사를 수행하려면 다음을 입력하십시오:
$ cloud-security-audit --service ec2
-r 또는 --region 플래그를 사용하여 감사 범위를 지역으로 좁힐 수 있습니다. Cloud Security Audit는 AWS 프로필도 지원합니다. 프로필을 지정하려면 -p 또는 --profile 플래그를 사용하십시오.
+---------------+---------------------+--------------------------------+-----------------------------------+----------+
| AVAILABILITY | EC2 | VOLUMES | SECURITY | |
| | | | | EC2 TAGS |
| ZONE | | (NONE) - NOT ENCRYPTED | GROUPS | |
| | | | | |
| | | (DKMS) - ENCRYPTED WITH | (INCOMING CIDR = 0.0.0.0/0) | |
| | | DEFAULT KMSKEY | | |
| | | | ID : PROTOCOL : PORT | |
+---------------+---------------------+--------------------------------+-----------------------------------+----------+
| eu-central-1a | i-0fa345j6756nb3v23 | vol-0a81288qjd188424d[DKMS] | sg-aaaaaaaa : tcp : 22 | App:some |
| | | vol-0c2834re8dfsd8sdf[NONE] | sg-aaaaaaaa : tcp : 22 | Key:Val |
+---------------+---------------------+--------------------------------+-----------------------------------+----------+
AVAILABILITY ZONE은 인스턴스가 배치된 위치 정보를 포함합니다.EC2는 인스턴스 ID를 포함합니다.Volumes는 해당 EC2에 연결된 볼륨(가상 디스크)의 ID를 포함합니다. 접미사 의미:
[NONE] - 암호화되지 않은 볼륨.[DKMS] - AWS 기본 KMS 키를 사용하여 암호화된 볼륨. KMS에 대한 자세한 내용은 여기에서 확인할 수 있습니다.Security Groups는 너무 열려 있는 권한을 가진 보안 그룹의 ID를 포함합니다. 예: CIDR 블록이 0.0.0.0/0(전 세계에 공개)인 경우.EC2 TAGS는 주어진 EC2 인스턴스의 태그를 포함하여 이 인스턴스의 목적을 식별하는 데 도움을 줍니다.암호화에 대한 자세한 내용은 다음 문서에서 확인할 수 있습니다:
모든 S3 버킷에 대한 감사를 수행하려면 다음을 입력하십시오:
$ cloud-security-audit --service s3
Cloud Security Audit는 AWS 프로필을 지원합니다. 프로필을 지정하려면 -p 또는 --profile 플래그를 사용하십시오.
+------------------------------+---------+---------+-------------+------------+
| BUCKET NAME | DEFAULT | LOGGING | ACL | POLICY |
| | | | | |
| | SSE | ENABLED | IS PUBLIC | IS PUBLIC |
| | | | | |
| | | | R - READ | R - READ |
| | | | | |
| | | | W - WRITE | W - WRITE |
| | | | | |
| | | | D - DELETE | D - DELETE |
+------------------------------+---------+---------+-------------+------------+
| bucket1 | NONE | true | false | false |
+------------------------------+---------+---------+-------------+------------+
| bucket2 | DKMS | false | false | true [R] |
+------------------------------+---------+---------+-------------+------------+
| bucket3 | AES256 | false | true [RWD] | false |
+--------------------------- --+---------+---------+-------------+------------+
BUCKET NAME은 S3 버킷의 이름을 포함합니다.DEFAULT SSE는 S3 버킷에서 사용된 기본 서버 측 암호화 유형에 대한 정보를 제공합니다:NONE - 기본 SSE가 활성화되지 않음.DKMS - 기본 SSE 활성화, 데이터 암호화에 AWS KMS 키 사용.AES256 - 기본 SSE 활성화, AES256.LOGGING ENABLED는 주어진 S3 버킷에 대해 서버 액세스 로깅이 활성화되었는지 여부를 포함합니다. 이는 S3 버킷에 대한 요청에 대한 상세 기록을 제공합니다. 서버 액세스 로깅에 대한 자세한 내용은 여기에서 확인할 수 있습니다.ACL IS PUBLIC은 ACL(Access Control List)에 버킷을 공개(누구나 읽기/쓰기 허용)로 만드는 권한이 포함되어 있는지 정보를 제공합니다. ACL에 대한 자세한 내용은 여기에서 확인할 수 있습니다.POLICY IS PUBLIC은 버킷 정책이 익명 사용자에게 어떤 작업(읽기/쓰기)을 허용하는지 정보를 포함합니다. 버킷 정책에 대한 자세한 내용은 여기에서 확인할 수 있습니다.
R, W, D 문자는 모든 사람이 사용할 수 있는 작업 유형을 설명합니다.S3 보안에 대한 자세한 내용은 다음 문서에서 확인할 수 있습니다: