likithmanoj/nhi-risk-analyzerDescobre, avalia riscos e corrige identidades não humanas em AWS, Azure e GCP usando análise offline baseada em regras, detecção de escalonamento de privilégios e contenção por limites de permissões.
Uma plataforma de automação de segurança de nível empresarial, offline-first, que descobre, inventaria, analisa, avalia riscos e remedia com segurança Identidades Não Humanas (NHIs) — service principals, contas de serviço, funções de máquina, chaves de acesso e credenciais — em AWS, Azure e Google Cloud Platform (GCP).
⭐️ Se você achar esta ferramenta útil para auditar e proteger Identidades Não Humanas entre nuvens, considere dar uma estrela ao repositório!
| Provedor de Nuvem | Tipos de Identidade Cobertos | Mecanismo de Descoberta | Inspeção de Segredos / Credenciais | Regras Ativas | Status |
|---|---|---|---|---|---|
| 🟧 AWS | Funções IAM, Usuários de Máquina, Grupos, Políticas | Boto3 + Cache de Sessão | Chaves de Acesso (CreateDate, LastUsed) | 13 Regras (AWS_01–16, TAG_01) | ✅ Suportado |
| 🟦 Azure | Service Principals do Entra ID, Registros de Aplicativo, Identidades Gerenciadas | REST Puro (Graph & ARM) | Segredos de Cliente (passwordCredentials), Certificados (keyCredentials) | 5 Regras (AZURE_01–05) | ✅ Suportado |
| 🟥 GCP | Contas de Serviço, Workload Identity, Funções IAM | REST Puro (IAM & Resource Mgr) | Chaves de Conta de Serviço (validAfterTime, gerenciadas pelo usuário) | 6 Regras (GCP_01–06) | ✅ Suportado |
🧪 Status da Suíte de Testes: 102 aprovados, 4 subtestes aprovados (100% VERDE) em todos os provedores e mecanismos.
O NHI Risk Analyzer aborda um desafio crítico de segurança multi-cloud: ambientes de nuvem empresariais modernos acumulam centenas de identidades de máquina e não humanas (contas de serviço, funções de automação, credenciais de CI/CD, funções de confiança entre nuvens) com visibilidade mínima sobre quais identidades possuem privilégios excessivos, estão inativas ou introduzem risco de escalonamento de privilégios.
A plataforma impõe um desacoplamento arquitetural rigoroso em três fases distintas:
inventory.json por meio de mecanismos leves e nativos da nuvem (Boto3 com cache de sessão para AWS; REST puro sem dependências para Azure e GCP).Ambientes multi-cloud empresariais rotineiramente contêm identidades não humanas que são:
O NHI Risk Analyzer automatiza descoberta, análise de segurança e remediação direcionada entre provedores de nuvem usando APIs de nuvem e processamento de regras offline.
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ AWS IAM │ │ Azure Entra │ │ GCP IAM │
│ (Boto3) │ │ (Pure REST) │ │ (Pure REST) │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
│ │ │
└────────────────┐ │ ┌────────────────┘
▼ ▼ ▼
┌───────────────────────────┐
│ inventory.py │
│ (Multi-Cloud Collector) │
└─────────────┬─────────────┘
▼
┌───────────────────────────┐
│ inventory.json │
│ (Unified State Snapshot) │
└─────────────┬─────────────┘
│
▼
┌───────────────────────────┐
│ risk.py │
│ (--cloud Orchestrator) │
└─────────────┬─────────────┘
│
┌────────────────────────┼────────────────────────┐
▼ ▼ ▼
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ aws.py sub- │ │ azure.py sub-│ │ gcp.py sub- │
│ runner │ │ runner │ │ runner │
│ (13 Rules) │ │ (5 Rules) │ │ (6 Rules) │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
└────────────────────────┼────────────────────────┘
▼
┌───────────────────────────┐
│ dispatch.py │
│ (Containment Dispatcher) │
└─────────────┬─────────────┘
│
┌────────────────────────┴────────────────────────┐
▼ ▼
┌─────────────────────────┐ ┌─────────────────────┐
│ policy_surgery.py & │ │ credential.py │
│ policy.py (Boundaries) │ │ (Deactivate Key) │
└─────────────────────────┘ └─────────────────────┘