threatmap — Modelador de ameaças de IaC com os frameworks STRIDE, MITRE ATT&CK e PASTA. Suporte a REST API, GraphQL e Docker para Terraform, CloudFormation e Kubernetes. | Kitploit

docker run -p 8000:8000 bogdynn/threatmap:2.1.0
# Endpoint GraphQL: http://localhost:8000/graphql
# Consultas: health, version, rules
# Mutações: analyze(content, filename, framework)

# STRIDE (padrão)
threatmap scan ./infra/ --framework stride

# MITRE ATT&CK (mapeia para táticas e técnicas)
threatmap scan ./infra/ --framework mitre --format json

# PASTA (modelagem de ameaças centrada em ativos)
threatmap scan ./infra/ --framework pasta --format json

ID	Severidade	Categoria STRIDE	Recurso	Descrição
T-001	🔴 CRÍTICA	Divulgação de Informação	`AuditBucket`	Bucket S3 'AuditBucket' não possui bloqueio de acesso público configurado — o bucket pode estar acessível publicamente.
T-002	🔴 CRÍTICA	Spoofing	`WebSecurityGroup`	Grupo de segurança 'WebSecurityGroup' expõe SSH/RDP (porta 22/3389) para 0.0.0.0/0.
T-003	🔴 CRÍTICA	Elevação de Privilégio	`app_contributor`	Atribuição de função 'app_contributor' concede a função privilegiada 'Contributor'.
T-006	🟠 ALTA	Divulgação de Informação	`AuditBucket`	Bucket S3 'AuditBucket' não possui criptografia do lado do servidor configurada.
T-008	🟠 ALTA	Elevação de Privilégio	`api`	Contêiner 'api' no Deployment 'api' pode ser executado como root (sem runAsNonRoot=true ou runAsUser=0).
T-011	🟠 ALTA	Elevação de Privilégio	`web`	Instância EC2 'web' permite IMDSv1 — serviço de metadados acessível sem tokens de sessão, possibilitando roubo de credenciais via SSRF.

### T-002 — Spoofing (CRÍTICA)

Recurso:     AWS::EC2::SecurityGroup.WebSecurityGroup
Propriedade: ingress.ssh_rdp_open
Descoberta:  Grupo de segurança 'WebSecurityGroup' expõe SSH/RDP (porta 22/3389) para 0.0.0.0/0.
Mitigação:   Remova o acesso público SSH/RDP. Use o AWS Systems Manager Session Manager
             ou um bastion host com restrições de IP.

flowchart LR
    Internet((Internet))
    subgraph Networking
        aws_security_group_web_sg{web_sg}
        NetworkPolicy_default_deny{default-deny}
        azurerm_network_security_group_app_nsg{app_nsg}
    end
    subgraph Compute
        aws_instance_web[web]
    end
    subgraph Kubernetes
        Namespace_myapp[myapp]
        Deployment_api[api]
        Service_api_svc[api-svc]
        Ingress_api_ingress[api-ingress]
    end
    subgraph Data
        aws_s3_bucket_app_data[(app_data)]
        aws_db_instance_app_db[(app_db)]
        azurerm_storage_account_app_storage[(app_storage)]
    end
    subgraph Security
        azurerm_key_vault_app_kv[app_kv]
    end
    subgraph Identity
        azurerm_role_assignment_app_contributor[/app_contributor/]
    end
    AWS__S3__Bucket_AppBucket -->|ref| AWS__S3__Bucket_AuditBucket
    AWS__CloudTrail__Trail_AppTrail -->|ref| AWS__S3__Bucket_AuditBucket
    Internet -->|HTTPS| Ingress_api_ingress
    style aws_security_group_web_sg fill:#ff4444,color:#fff
    style aws_s3_bucket_app_data fill:#ff4444,color:#fff
    style aws_instance_web fill:#ff8800,color:#fff
    style Deployment_api fill:#ff8800,color:#fff
    style azurerm_key_vault_app_kv fill:#ffcc00,color:#000
    style azurerm_network_security_group_app_nsg fill:#ff8800,color:#fff
    style azurerm_role_assignment_app_contributor fill:#ff4444,color:#fff

rules:
  - resource_type: "aws_s3_bucket"
    property: "force_destroy"
    expected: false
    stride: "Tampering"
    severity: "MEDIUM"
    description: "Buckets de produção não devem ter force_destroy habilitado."
    mitigation: "Defina force_destroy = false."

threatmap/analyzers/
├── aws.py         # 22 regras — S3, IAM, EC2, RDS, EKS, CloudTrail, KMS, Lambda
├── azure.py       # 19 regras — Storage, Key Vault, NSG, RBAC, AKS, ACR, SQL
├── gcp.py         # 15 regras — GCS, Firewall, Compute, Cloud SQL, GKE, IAM, KMS
└── kubernetes.py  # 17 regras — workloads, RBAC, network, secrets

Severidade	Significado
CRÍTICA	Diretamente explorável sem pré-condições adicionais (ex.: SSH aberto para 0.0.0.0/0, política IAM curinga, vinculação cluster-admin para anônimo)
ALTA	Risco significativo que requer uma etapa adicional (ex.: RDS não criptografado com acesso público, IMDSv1 em uma instância EC2)
MÉDIA	Controles de defesa em profundidade ausentes — risco imediato menor, mas viola as linhas de base de segurança (ex.: sem versionamento, sem logging, sem limites de recursos)
BAIXA	Lacunas de melhores práticas com explorabilidade limitada isolada (ex.: Lambda não em VPC)

# .github/workflows/threat-model.yml
name: Threat Model

on: [pull_request]

jobs:
  threatmap:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Set up Python
        uses: actions/setup-python@v5
        with:
          python-version: "3.11"

      - name: Install threatmap
        run: pip install threatmap

      - name: Run threat model scan
        run: |
          threatmap scan ./infra/ \
            --format markdown \
            --output threat-report.md \
            --fail-on HIGH

      - name: Upload threat report
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: threat-report
          path: threat-report.md

Formato	Provedor	Extensão
Terraform HCL	AWS, Azure, GCP	`.tf`
CloudFormation	AWS	`.yaml`, `.yml`, `.json`
Manifestos Kubernetes	Kubernetes	`.yaml`, `.yml`

Provedor	Regras
AWS (Terraform + CloudFormation)	22
Azure (Terraform)	19
GCP (Terraform)	15
Kubernetes	17
Total	73

Provedor	S	T	R	I	D	E
AWS	✓	✓	✓	✓	✓	✓
Azure	✓	✓	✓	✓	—	✓
GCP	✓	✓	✓	✓	—	✓
Kubernetes	✓	✓	—	✓	✓	✓

threatmap

Mais Populares

Início Rápido

Formatos e Provedores Suportados

Instalação

Uso

Frameworks de Modelagem de Ameaças

Exemplo de Saída de Relatório

Tabela de Ameaças STRIDE

Detalhe de Mitigação (trecho)

Diagrama de Fluxo de Dados (Mermaid)

Funcionalidades Avançadas (v2.1.0+)

Análise de Caminhos de Ataque Baseada em Grafo

Regras YAML Personalizadas

Dicas de Remediação

Arquitetura

Como as severidades são atribuídas

Como falsos positivos são evitados

Integração CI

Cobertura de Regras STRIDE

Desenvolvimento

Contribuição