cloudg

cloudg(cloud graphing)는 AWS, Azure, GCP 인프라를 그래프로 매핑하고,
동일한 인벤토리에 대해 보안 스캐너를 실행하며, 그 결과를 실제로 활용할 수 있는 보고서로 변환합니다.

하나의 명령이 구성된 모든 프로바이더로부터 자산을 병렬로 수집하고, 이를 NetworkX 그래프에 투입하여 도달 가능성 및 공격 경로 분석을 수행한 뒤, Prowler, ScoutSuite, Checkov, Trivy로 확장 실행하고, 모든 발견 사항을 28개의 컴플라이언스 프레임워크와 대조하여 병합 및 중복 제거합니다. 그 결과로 대화형 HTML 보고서, GraphML, RDF 온톨로지, LLM 파이프라인용 RAG 청크, 그리고 실제 인프라를 재현하는 Terraform 파일이 생성됩니다.

보안 도구 없이 맵만 필요한가요? cloudg map은 스캐너에 독립적인 인벤토리 매퍼로, 계정에 배포된(또는 기본) 모든 것을 네트워크 패브릭까지 깊이 수집하고, 나머지는 모든 서비스를 훑어 수집하며, 이 모든 것을 하나의 자산 맵으로 연결하여 나중에 스캐너 발견 사항을 오버레이할 수 있습니다. 인벤토리 매핑을 참조하세요.

AI 에이전트가 이 모든 것과 함께 작업하길 원하시나요? cloudg mcp serve는 cloudg를 Claude Desktop, Claude Code, Cursor 또는 Model Context Protocol을 지원하는 모든 것에 대한 MCP 서버로 변환합니다. MCP 서버를 참조하세요.

전체 문서: 렌더링된 핸드북은 morpheuslord.github.io/cloudg에 있으며, 동일한 내용이 마크다운으로 기능 레퍼런스에, 릴리스 노트는 변경 로그에 있습니다. 인벤토리 매퍼에는 자체 심층 문서가 있습니다: 인벤토리 레퍼런스(모든 반환 구조와 출력 파일을 필드별로), 인벤토리 카탈로그(156개 자산 유형 전체, 해당 메타데이터 및 관계), 그리고 인벤토리 내부 구조(작동 방식과 확장 방법). MCP 서버는 MCP 가이드, 도구 레퍼런스, 프라이버시 레퍼런스에서 다루며, 스로틀링은 속도 제한 및 스로틀링에서 다룹니다.

샘플 보고서: 아무것도 실행하기 전에 cloudg가 무엇을 생성하는지 보려면 샘플 보고서를 열어보세요. 이는 합성 AWS, Azure, GCP 환경의 report.html이므로 그 안의 모든 ID는 가상이며, scripts/build_sample_report.py가 테스트 픽스처로부터 이를 재생성합니다.

빠른 시작

git clone https://github.com/morpheuslord/cloudg.git
cd cloudg

uv venv && source .venv/bin/activate
uv pip install -e ".[all,dev]"

# one provider, one region
cloudg run -p aws --regions us-east-1

# everything, everywhere
cloudg run -p all --regions all

# with Terraform recreation files
cloudg run -p aws --regions us-east-1 --terraform

보고서는 ./reports에 생성됩니다. 먼저 report.html을 여십시오.

스캐너를 이미 직접 실행하셨습니까? 그렇다면 cloudg에 각 스캐너의 기본 출력 파일을 대신 제공하십시오. 클라우드 자격 증명도, 스캐너 바이너리도 필요하지 않습니다:

cloudg ingest --prowler ./prowler-output/ --checkov ./results_json.json --trivy ./trivy.json

Prowler, ScoutSuite, Checkov, Trivy 출력의 어떤 조합이든 작동합니다. cloudg는 검사 동등성 규칙 세트를 통해 정규화하고 스캐너 간 중복을 제거하며, 컴플라이언스 프레임워크를 매핑하고 보고서를 렌더링합니다.

CI에서 cloudg gate는 특정 심각도 이상의 발견 사항이 있을 때 작업을 실패시키고 코드 스캐닝용 SARIF를 작성합니다. GitHub에서 이 저장소는 cloudg와 스캐너를 설치하고, 파이프라인을 실행하며, 게이트를 적용하는 액션으로도 사용됩니다:

permissions:
  contents: read
  id-token: write          # OIDC login to the cloud
  security-events: write   # SARIF upload

steps:
  - uses: aws-actions/configure-aws-credentials@v6
    with:
      role-to-assume: arn:aws:iam::123456789012:role/cloudg-github
      aws-region: us-east-1
  - uses: morpheuslord/[email protected]
    with:
      provider: aws
      fail-on: critical
      min-assets: "1"

CI 및 자동화 가이드에는 모든 입력, Azure 및 GCP 로그인, GitLab CI와 일반 셸 버전이 포함되어 있습니다.

docker build -t cloudg:latest .
docker compose run --rm cloudg run -p aws --regions us-east-1

인벤토리 매핑

cloudg map은 cloudg run과는 다른 질문에 답합니다. 무엇이 존재하고, 어떻게 연결되어 있는지를 밝히는 것입니다. 무엇이 잘못되었는지 찾아내는 일은 여전히 스캐너의 몫이며, 그중 어느 것도 여기서 실행되지 않고 설치조차 필요하지 않습니다. 맵을 완성하는 요소는 다음과 같습니다:

• 심층 서비스 수집기. 컨테이너(ECR 리포지토리, ECS 서비스 및 태스크 정의, EKS 클러스터, 노드그룹, Fargate 프로필, 애드온, 액세스 엔트리)와 EKS 내부에서 실행되는 Kubernetes 워크로드; 트리거, 함수 URL, 이미지, 레이어를 포함한 Lambda; API Gateway, SQS, SNS, EventBridge, Step Functions, Kinesis; 데이터 스토어; Route 53; CloudFormation 스택과 그 스택이 관리하는 리소스; 전체 IAM 그래프; 그리고 계정을 감시하는 보안 서비스와 스캐너(GuardDuty, Security Hub, Inspector, Macie, Config, Access Analyzer, WAF, Network Firewall, Shield, CloudTrail)로, 활성화되지 않은 위치까지 포함합니다.
• 모든 서비스에 걸친 폭넓은 범위. AWS에서는 Cloud Control API 스윕이 나열을 지원하는 모든 리소스 유형(800개 이상)을 태그 여부와 관계없이 133개의 전용 수집기와 함께 나열합니다. Azure는 모든 구독과 관리 그룹에 걸쳐 Azure Resource Graph를 통해, GCP는 전체 조직에 걸쳐 Cloud Asset Inventory를 통해 읽어 들이며, 둘 다 전체 리소스 속성을 포함합니다.
• 모든 계정을 한 번에. --org는 관리 계정에서 AWS Organization(OU 트리, 계정, SCP, 그리고 관리 대상 리전과 활성화된 컨트롤을 포함한 Control Tower 랜딩 존)을 검색하고 모든 멤버 계정을 매핑합니다.
• 유형이 지정된 상호 의존성. 엣지는 그 의미를 명시합니다: S3가 Lambda를 INVOKES, 태스크 정의가 ECR 리포지토리를 USES_IMAGE, 함수가 역할을 ASSUMES_ROLE, WAF가 ALB를 PROTECTS, Inspector가 인스턴스를 MONITORS, 스택이 리소스를 MANAGES, SCP가 OU를 GOVERNS, 그리고 매핑하지 않은 계정에 대한 교차 계정 신뢰까지 포함합니다. 이어서 cloudg deps는 "이것이 무엇을 필요로 하는가"와 "이것이 사라지면 무엇이 깨지는가"에 답합니다.

# map one provider
cloudg map -p aws --regions all

# every account in the AWS Organization / Control Tower landing zone
cloudg map -p aws --org --regions all

# map everything, everywhere
cloudg map -p all --regions all

# what depends on this role, and what does it depend on?
cloudg deps arn:aws:iam::123456789012:role/app-role

# overlay scanner findings you generated earlier -> asset map + compliance map
cloudg map -p aws --regions all --findings ./reports/raw-findings.json

출력물: inventory-map.json(자산, 상호 연결, 수집 범위, 요약), inventory-map.graphml, 뷰어용 inventory-graph.json, inventory-dependencies.json(공유 의존성, 영향 범위, 교차 계정 엣지, 보안 범위 격차) 그리고 --org 사용 시 inventory-organization.json. --findings 사용 시 추가로 asset-map.json(각 자산과 그 발견 사항 및 심각도 분석)과 compliance-map.json(프레임워크 → 영향받는 자산)이 생성됩니다. 맵은 스캐너에 의존하지 않으므로, 오늘 맵을 만들고 다음 주에 실행하는 스캔의 발견 사항을 병합할 수 있습니다. 모든 파일은 inventory reference에 주석이 달린 예시와 함께 필드별로 명세되어 있습니다.

이 모든 것은 라이브러리 API로도 사용할 수 있습니다. 라이브러리로 사용하기를 참조하세요:

from cloudg import CloudGConfig, CloudGEngine

engine = CloudGEngine(CloudGConfig(providers=["aws", "azure", "gcp"]))
inventory = engine.map_inventory_sync(output_dir="./reports")
print(inventory.summary["assets_by_service"])

MCP 서버

cloudg는 Model Context Protocol을 통해 인벤토리, 그래프, 발견 사항, 컴플라이언스 매핑 및 온톨로지를 AI 에이전트에 제공할 수 있습니다. find_assets와 attack_paths부터 blast_radius, compliance_gaps, 그리고 security_posture_review 프롬프트에 이르기까지 74개의 도구, 13개의 리소스, 11개의 리소스 템플릿, 11개의 프롬프트를 제공합니다.