morpheuslord/cloudgMapeie, gere grafos e audite AWS, Azure e GCP a partir de uma única CLI. Cria um grafo de topologia, executa Prowler/Checkov/Trivy, associa os achados a 28 frameworks de conformidade e exporta relatórios HTML, ontologias RDF, chunks RAG e arquivos de recriação Terraform.
cloudg (cloud graphing) mapeia a infraestrutura da AWS, Azure e GCP em um grafo,
executa scanners de segurança sobre o mesmo inventário e transforma os resultados em relatórios que você pode realmente usar.
Um único comando coleta ativos de todos os provedores configurados em paralelo, os alimenta em um grafo NetworkX para análise de alcançabilidade e caminhos de ataque, distribui para Prowler, ScoutSuite, Checkov e Trivy e, em seguida, mescla e deduplica todas as descobertas em relação a 28 frameworks de conformidade. Na outra ponta saem um relatório HTML interativo, GraphML, uma ontologia RDF, chunks RAG para pipelines de LLM e arquivos Terraform que recriam a infraestrutura em execução.
Precisa do mapa sem as ferramentas de segurança? cloudg map é um mapeador de inventário independente de scanner: ele coleta em profundidade tudo o que está implantado (ou o padrão) em uma conta, até a malha de rede, varre todos os serviços para o restante e vincula tudo em um único mapa de ativos que você pode sobrepor com descobertas de scanners depois. Consulte Mapeamento de inventário.
Quer que um agente de IA trabalhe com tudo isso? cloudg mcp serve transforma o cloudg em um servidor MCP para Claude Desktop, Claude Code, Cursor ou qualquer outra coisa que fale o Model Context Protocol. Consulte Servidor MCP.
Documentação completa: o manual renderizado está em morpheuslord.github.io/cloudg, com o mesmo conteúdo em markdown na referência de recursos e notas de versão no changelog. O mapeador de inventário tem seus próprios documentos aprofundados: a referência de inventário (cada estrutura de retorno e arquivo de saída, campo por campo), o catálogo de inventário (todos os 156 tipos de ativos, seus metadados e relacionamentos) e os internos do inventário (como funciona e como estendê-lo). O servidor MCP é abordado pelo guia MCP, pela referência de ferramentas e pela referência de privacidade, e o throttling por limites de taxa e throttling.
Relatório de exemplo: para ver o que o cloudg produz antes de executar qualquer coisa, abra o relatório de exemplo. Ele é o report.html de um ambiente sintético de AWS, Azure e GCP, então todos os IDs nele são fictícios, e scripts/build_sample_report.py o reconstrói a partir das fixtures de teste.
git clone https://github.com/morpheuslord/cloudg.git
cd cloudg
uv venv && source .venv/bin/activate
uv pip install -e ".[all,dev]"
# one provider, one region
cloudg run -p aws --regions us-east-1
# everything, everywhere
cloudg run -p all --regions all
# with Terraform recreation files
cloudg run -p aws --regions us-east-1 --terraform
Os relatórios são gravados em ./reports. Abra primeiro o report.html.
Já executou os scanners por conta própria? Em vez disso, forneça ao cloudg os ficheiros de saída nativos deles. Sem credenciais cloud, sem binários de scanners:
cloudg ingest --prowler ./prowler-output/ --checkov ./results_json.json --trivy ./trivy.json
Qualquer combinação de saídas do Prowler, ScoutSuite, Checkov e Trivy funciona; o cloudg normaliza, deduplica entre scanners por meio dos conjuntos de regras de equivalência de verificações, mapeia frameworks de conformidade e renderiza os relatórios.
Em CI, cloudg gate faz o job falhar em achados com severidade igual ou superior a um limite e grava SARIF para code scanning. No GitHub, o repositório também funciona como uma action que instala o cloudg e os scanners, executa o pipeline e aplica o gate:
permissions:
contents: read
id-token: write # OIDC login to the cloud
security-events: write # SARIF upload
steps:
- uses: aws-actions/configure-aws-credentials@v6
with:
role-to-assume: arn:aws:iam::123456789012:role/cloudg-github
aws-region: us-east-1
- uses: morpheuslord/[email protected]
with:
provider: aws
fail-on: critical
min-assets: "1"
O guia de CI e automação tem todas as entradas, logins do Azure e GCP, GitLab CI e uma versão em shell simples.
O pip simples também funciona: pip install -e ".[all]". Os SDKs de nuvem são extras, então pip install cloudg[aws] puxa apenas boto3/aioboto3, [azure] e [gcp] fazem o mesmo para os respetivos SDKs, e [all] instala tudo. O pacote base sem extras continua a fornecer o motor de grafos, a ontologia, o normalizador e os renderizadores de relatórios.
Os scanners externos (Prowler, Checkov, Trivy, ScoutSuite) são executáveis separados, não dependências Python. install.sh (Linux/macOS) e install.bat (Windows) configuram tudo, incluindo os scanners e as CLIs de nuvem.
Docker é o caminho mais fácil: a imagem inclui Prowler, Checkov e Trivy (ScoutSuite não está incluído, por isso execute-o separadamente e forneça o respetivo relatório ao cloudg ingest):
docker build -t cloudg:latest .
docker compose run --rm cloudg run -p aws --regions us-east-1
cloudg map responde a uma pergunta diferente de cloudg run: o que existe e como está interligado. Descobrir o que está errado continua a ser tarefa dos scanners, e nenhum deles é executado aqui nem sequer precisa de estar instalado. O que torna o mapa completo: