CNAPPgoat

CNAPPgoat é uma ferramenta de implantação de ambientes multi-nuvem intencionalmente vulneráveis – projetada especificamente para criar arenas de prática para defensores e pentesters. Sua função principal é implantar ambientes propositalmente vulneráveis em vários provedores de serviços de nuvem, para ajudar você a aprimorar suas habilidades em exploração, detecção e prevenção dessas vulnerabilidades.

Aviso: O CNAPPgoat implanta ambientes vulneráveis. Use-o apenas em sandboxes seguros e controlados.

Primeiros Passos

O CNAPPgoat opera como uma ferramenta de Interface de Linha de Comando (CLI), capaz de implantar ambientes vulneráveis em diversos provedores de serviços de nuvem. Construído com Go e utilizando Pulumi e a API de automação do Pulumi, garante uma implantação de ambiente perfeita. Uma de suas características únicas é seu design modular, que permite extensão sem esforço para suportar diversos provedores de serviços de nuvem e novos ambientes vulneráveis. Atualmente, o CNAPPgoat oferece suporte a AWS, Azure e GCP.

Pré-requisitos para executar o CNAPPgoat

• Pulumi
• SDKs de nuvem para o provedor de nuvem que você está usando:
  • AWS CLI
  • Azure CLI
  • Google Cloud SDK

As dependências e plugins do Pulumi serão instalados sob demanda, de acordo com os requisitos de cada cenário, quando você provisionar seu primeiro ambiente. Isso significa que o primeiro provisionamento pode demorar um pouco mais do que os subsequentes.

Instalação

Homebrew

O CNAPPgoat pode ser facilmente instalado para usuários macOS usando o gerenciador de pacotes Homebrew.

brew tap ermetic-research/cnappgoat
brew install cnappgoat

Baixar o release diretamente para macOS, Linux e Windows.

1. Baixe o último release em aqui.

   root@kitploit:~

   tar -xvf cnappgoat-<versão>.tar.gz
   cd cnappgoat-<versão>
   

2. (Opcional) Se você quiser adicionar o binário extraído ao PATH do seu sistema (não é obrigatório, você pode executá-lo diretamente do diretório local como ./cnappgoat):

Opção A: Mover para um diretório no seu PATH (ex.: /usr/local/bin para macOS e Linux)

mv cnappgoat /usr/local/bin/

Opção B: Adicionar o diretório que contém o binário ao seu PATH

Para bash:

echo 'export PATH=$PATH:<caminho_para_diretório_com_cnappgoat>' >> ~/.bashrc
source ~/.bashrc

Para zsh:

echo 'export PATH=$PATH:<caminho_para_diretório_com_cnappgoat>' >> ~/.zshrc
source ~/.zshrc

Substitua <caminho_para_diretório_com_cnappgoat> pelo caminho absoluto do diretório onde o binário cnappgoat reside.

Uso

NOME:
   cnappgoat - Uma ferramenta multi-nuvem open-source para implantar recursos de nuvem intencionalmente vulneráveis

USO:
   cnappgoat [opções globais] comando [opções de comando] [argumentos...]

VERSÃO:
   0.1.0-beta, data: 2023-08-02T13:02:46Z, commit: 6bef61857d9f3cf88215269df8976f96317711dc


COMANDOS:
   clean      limpar e remover todos os recursos criados e excluir todos os cenários e arquivos relacionados
   describe   descrever um cenário
   destroy    Destruir cenários do módulo CNAPPgoat
   list       Listar cenários do módulo CNAPPgoat
   provision  Provisionar cenários do módulo CNAPPgoat
   help, h    Mostra uma lista de comandos ou ajuda para um comando

OPÇÕES GLOBAIS:
   --debug        Ativar modo de depuração (padrão: false)
   --help, -h     Mostrar ajuda
   --version, -v  Exibir a versão

Você pode usar vários argumentos separados por espaços. Por exemplo:

cnappgoat provision <cenario-1> <cenario-2> <cenario-N>

Flags:

• --module - Filtra cenários por módulo (ex.: CSPM, CIEM, CWPP, DSPM, KSPM etc.)
• --platform - Filtra cenários por plataforma (ex.: AWS, Azure, GCP)
• --force - Ativa o modo forçado (desbloqueia stacks bloqueadas com pulumi cancel)
• --debug - Ativa o log de depuração.

Essas flags são flags de comando e devem ser colocadas após o comando. Por exemplo:

cnappgoat provision --module CSPM --platform AWS

Este comando provisionará todos os cenários AWS CSPM.

Cenários do CNAPPgoat

O CNAPPgoat baixa cenários do repositório cnappgoat-scenarios na primeira execução de cada dia. Esses cenários são baixados automaticamente quando você executa o CNAPPgoat e são armazenados no diretório ~/.cnappgoat/scenarios.

Configuração e Ajustes

Antes de usar o CNAPPgoat, você precisa configurar suas credenciais de nuvem para AWS, Azure e GCP. O CNAPPgoat usa as credenciais padrão de cada provedor. Siga os passos abaixo para configurar suas credenciais:

Credenciais AWS

1. Instale o AWS CLI seguindo as instruções aqui.

2. Configure suas credenciais AWS executando:

   root@kitploit:~

   aws configure
   

   Você será solicitado a inserir seu Access Key ID, Secret Access Key e nome da região padrão.

Credenciais Azure

1. Instale o Azure CLI seguindo as instruções aqui.

2. Faça login na sua conta Azure executando:

   root@kitploit:~

   az login
   

   Isso abrirá uma nova janela do navegador para você fazer login. Após o login, suas credenciais serão armazenadas para uso futuro.

Credenciais GCP

1. Instale o Google Cloud SDK seguindo as instruções aqui.

2. Autentique-se no Google Cloud executando:

   root@kitploit:~

   gcloud auth login
   

   Isso abrirá uma nova janela do navegador para você fazer login. Após o login, suas credenciais serão armazenadas para uso futuro.

Ao definir essas credenciais, você poderá implantar cenários na AWS, Azure e GCP usando o CNAPPgoat. Se você planeja usar o CNAPPgoat com um provedor diferente, certifique-se de configurar as credenciais adequadamente.

Saiba Mais

Para saber mais sobre o CNAPPgoat, confira o post no blog da Ermetic: https://ermetic.com/blog/cloud/cnappgoat-multicloud-open-source-tool-for-deploying-vulnerable-by-design-cloud-resources/

Agradecimentos

Projetos semelhantes

O CNAPPgoat provisiona uma variedade de cenários vulneráveis em múltiplas nuvens para testar capacidades de detecção e prevenção. Existem outros grandes projetos voltados para ambientes de nuvem vulneráveis, focados em áreas diferentes, como exploração, detecção, cenários CTF (capture the flag), etc. Fomos inspirados por essas ferramentas e projetos, e recomendamos conferi-los:

• Stratus Red Team by DataDog: uma ferramenta que permite aos usuários emular técnicas de ataque ofensivas de forma granular e autocontida
• Cloud Goat by Rhino Security Labs: uma ferramenta de implantação AWS "Vulnerável por Design". Permite aprimorar suas habilidades de segurança em nuvem criando e completando vários cenários no estilo "capture-the-flag"
• Kubernetes Goat by Madhu Akula: um ambiente de cluster intencionalmente vulnerável para aprender e praticar segurança em Kubernetes
• TerraGoat by Bridgecrew: um repositório Terraform "Vulnerável por Design"
• CloudFoxable by BishopFox: uma sandbox gamificada de hacking em nuvem

Mais desafios e ferramentas podem ser encontrados no repositório Awesome Cloud Security Challenges por Mike Privitte, nossa lista focada especificamente em ambientes de nuvem vulneráveis por design que são implantados pelos usuários em suas próprias sandboxes.

Contato

Para enviar um e-mail para a equipe do projeto, contate [email protected]

Aviso Legal

• O CNAPPgoat é fornecido "como está" e sem qualquer garantia ou suporte.
• Esta é uma versão beta. O projeto ainda está em desenvolvimento, portanto pedimos desculpas por quaisquer problemas iniciais. Lançaremos uma versão estável nas próximas semanas.