확장 가능한 Azure 보안 도구

확장 가능한 Azure 보안 도구(이하 E.A.S.T)는 Azure 및 일부 Azure AD 보안 제어를 평가하기 위한 도구입니다. EAST의 주요 사용 사례는 Azure 평가에서 평가를 위한 보안 데이터 수집입니다. 이 정보(JSON 콘텐츠)는 다양한 보고 도구에서 사용될 수 있으며, 이를 통해 데이터를 추가로 상호 연관시키고 조사합니다.

이 도구는 MIT 라이선스에 따라 라이선스가 부여됩니다.

협력자

본인
Nixu 클라우드 보안 팀

확장 가능한 Azure 보안 도구
협력자
릴리스 노트
중요
도구 작동
도구 작동 문서

릴리스 노트

v 0.5

리팩터:
- Managed Identity 역할 및 Azure AD 할당은 이제 단일 모듈을 통해 수행됩니다. 이전 버전은 수명이 다했고 논리가 더 이상 올바르지 않았습니다. 새 모듈은 miGeneral.js입니다.
- ASB는 더 이상 ASB가 아닙니다. 이제 Microsoft Cloud Security Benchmark입니다. query.js를 참조하세요.

v 0.4

미리보기 브랜치 도입

변경 사항:
- 설치 시 이제 종속성과 관련하여 Azure Cloud Shell의 업데이트된 버전 사용을 고려합니다(Cloud Shell에는 이제 Node.JS v16 버전이 설치됨).
- 권고에 따른 Databricks 클러스터 유형 확인
  - 잠재적인 권한 상승을 위해 Databricks 클러스터 감사 - 이 제어는 일반적으로 Databricks 클러스터에 대한 권한이 필요합니다.
- Content.json은 이제 키 및 콘텐츠 기반 정렬을 갖습니다. 이를 통해 git diff HEAD^1¹을 사용하여 델타 검사를 수행할 수 있습니다. content.json의 결과 순서가 미리 결정되어 있기 때문입니다.
¹ ⚠️ 주의 사항: content.json의 델타를 확인하려면 content.json을 .gitignore에서 "unignore"해야 하며, 이로 인해 구성된 업스트림에 결과가 노출될 수 있습니다.

이 기능을 주의해서 사용하고, 이 기능을 사용하는 브랜치에 대해 공개 업스트림이 설정되어 있지 않은지 확인하세요.
더 큰 데이터 세트에서 발생할 수 있는 경합 상태를 피하기 위한 프로그래밍 패턴 변경. 이는 주로 for await 스타일 루프에서 var 대신 let을 사용하는 변경입니다.

중요

⚠️ 현재 도구 상태는 베타입니다.

수정, 업데이트 등은 "최선의 노력" 기준으로 수행되며, 시간이나 적용된 수정의 품질을 보장하지 않습니다.
저희는 일상 업무에서 EAST를 사용하기 전에 환경을 숙지하는 것 외에도 다양한 실행 및 환경 제한을 적용하는 등 추가 조정을 수행합니다. 따라서 현재는 EAST를 테스트 환경에서만, 그리고 읽기 전용 권한으로 실행할 것을 권장합니다.
- 서비스의 모든 호출은 대부분 Azure Cloud IP로 이루어지므로, 아웃바운드 IP 제한이 적용된 강화된 환경에서도 잘 작동해야 합니다. 이는 Azure에 C2도 없이 악성 패키지가 "전화 연결(phone home)"할 수 있는 위험을 줄여줍니다.
  - 기본적으로 읽기 전용 모드로 실행하면 잠재적으로 손상된 NPM 패키지와 관련된 위험을 크게 줄일 수 있습니다 (Google 손상된 NPM).
  - 버그 등: 읽기 전용 권한으로 도구를 실행하면 이 코드의 특정 실수로부터 환경을 보호할 수 있습니다.
많은 코드는 "있는 그대로(AS IS)"입니다. 즉, 특정 결과를 생성하는 목적으로만 사용되었습니다. 정리 및 모듈화 작업이 많이 남아 있습니다.
현재로서는 main.js 및 다양한 고급 제어에 대한 변경 후 수행되는 특정 수동 검사 외에는 테스트가 없습니다.
현재 단계의 제어 설명은 최종 제품이 아니므로, 이에 대한 피드백은 감사하지만 도구 초점이 아닙니다.
이름에서 알 수 있듯이 환경을 평가하는 도구로 사용합니다. 현재는 모니터링 없이 실행하도록 설계된 것이 아니며, 들어오는 연결을 수락하는 인터넷에 노출된 서비스에서 실행해서는 안 됩니다.
문서는 현재로서는 불완전하다고 할 수 있습니다.
EAST는 주로 PaaS 리소스에 중점을 두고 있으며, 대부분의 Azure 평가가 이 리소스 유형에 초점을 맞추고 있기 때문입니다.
⚠️ 실행 매개변수에 대한 입력 검증이 수행되지 않습니다. 이러한 매개변수의 입력은 항상 제어된다고 가정하기 때문입니다. 즉, 이 도구는 광범위하게 exec()를 사용합니다. 모든 경로를 검토하지는 않았지만, 셸코드 실행을 달성하는 것이 간단하다고 생각합니다. 이 도구는 적대적 입력을 가정하지 않으므로, 실행 인수를 검토하지 않고 명령줄에 붙여넣지 않는 것이 좋습니다.

도구 작동

종속성

코드 양을 줄이기 위해 작동 및 미적 목적으로 다음 종속성을 사용합니다 (이 훌륭한 패키지의 유지 관리자에게 감사드립니다).

package	aesthetics	operation	license
axios		✅	MIT
yargs		✅	MIT
jsonwebtoken		✅	MIT
chalk	✅		MIT
js-beautify	✅		MIT

도구 실행을 위한 기타 종속성: Azure Cloud Shell에서 실행하려는 경우 Azure CLI를 설치할 필요가 없습니다.

이 도구는 Microsoft Azure CLI를 포함하거나 배포하지 않으며, 소스 시스템(EAST 실행을 위한 기본 플랫폼인 Azure Cloud Shell 등)에 설치된 경우에만 사용합니다.

Azure Cloud Shell (BASH) 또는 해당 Linux 배포판 / WSL

요구 사항	설명	설치
✅ AZ CLI	AZCLI 사용	`curl -sL https://aka.ms/InstallAzureCLIDeb \| sudo bash`
✅ Node.js 런타임 14	EAST용 Node.js 런타임	NVM으로 설치

제어

EAST는 기본, 고급, 복합의 세 가지 제어 범주를 제공합니다.

머신이 읽을 수 있는 제어는 유형(기본/고급/복합)에 관계없이 다음과 같습니다.```json { "name": "fn-sql-2079", "resource": "/subscriptions/6193053b-408b-44d0-b20f-4e29b9b67394/resourcegroups/rg-fn-2079/providers/microsoft.web/sites/fn-sql-2079", "controlId": "managedIdentity", "isHealthy": true, "id": "/subscriptions/6193053b-408b-44d0-b20f-4e29b9b67394/resourcegroups/rg-fn-2079/providers/microsoft.web/sites/fn-sql-2079", "Description": "\r\n Ensure The Service calls downstream resources with managed identity", "metadata": { "principalId": { "type": "SystemAssigned", "tenantId": "033794f5-7c9d-4e98-923d-7b49114b7ac3", "principalId": "cb073f1e-03bc-440e-874d-5ed3ce6df7f8" }, "roles": [{ "role": [{ "properties": { "roleDefinitionId": "/subscriptions/6193053b-408b-44d0-b20f-4e29b9b67394/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c", "principalId": "cb073f1e-03bc-440e-874d-5ed3ce6df7f8", "scope": "/subscriptions/6193053b-408b-44d0-b20f-4e29b9b67394/resourceGroups/RG-FN-2079", "createdOn": "2021-12-27T06:03:09.7052113Z", "updatedOn": "2021-12-27T06:03:09.7052113Z", "createdBy": "4257db31-3f22-4c0f-bd57-26cbbd4f5851", "updatedBy": "4257db31-3f22-4c0f-bd57-26cbbd4f5851" }, "id": "/subscriptions/6193053b-408b-44d0-b20f-4e29b9b67394/resourceGroups/RG-FN-2079/providers/Microsoft.Authorization/roleAssignments/ada69f21-790e-4386-9f47-c9b8a8c15674", "type": "Microsoft.Authorization/roleAssignments", "name": "ada69f21-790e-4386-9f47-c9b8a8c15674", "RoleName": "Contributor" }] }] }, "category": "Access" },

### Basic

기본 제어는 초기 ARM 개체에 대한 간단한 "켜기/끄기" 불리언 설정(즉, 해당 서비스의 설정)을 확인하는 것을 포함합니다.

**예시: Azure Container Registry adminUser**

[acr_adminUser](https://github.com/jsa2/east/blob/public/providers/microsoft.containerregistry/functions/acr_adminUser.js)

Portal|EAST
-|-
  ![image](https://assets.kitploit.com/production/public/readmes/5701/955386627eceb05ef02ac4f9aed2c6671397ff9f86946fab1422f65c40510e5d.png) | ``if (item.properties?.adminUserEnabled == false ){returnObject.isHealthy = true }``



### Advanced

EAST

인기

확장 가능한 Azure 보안 도구

협력자

릴리스 노트

중요

도구 작동

종속성

제어