aws-perimeter

Um Scanner de Segurança AWS baseado em terminal com mais de 100 verificações de segurança em VPC, IAM, S3, CloudTrail, contêineres (ECS/EKS) e detecção de ataques de IA. Detecta permissões IAM perigosas, segredos expostos, buckets S3 mal configurados, vulnerabilidades em contêineres e ameaças emergentes de LLMjacking.

Visão geral do produto: docs/CAPABILITIES_OVERVIEW.md

Funcionalidades

Segurança VPC

• Análise de grupos de segurança (SSH/RDP abertos, portas de banco de dados)
• Detecção de exposição pública e riscos de portas de gerenciamento
• Análise de ACLs de rede e auditoria de VPC Flow Log
• Riscos de peering VPC, detecção de bastion host
• Status do NAT Gateway e cobertura de endpoints VPC

Segurança IAM

• Detecção de escalação de privilégios (17 padrões)
• Credenciais obsoletas (mais de 90 dias)
• Análise de confiança entre contas
• Lacunas na imposição de MFA
• Políticas excessivamente permissivas (*:*)
• Encadeamento de papéis, ID externo, limites de permissão

Segurança S3

• Detecção de bucket público
• Auditoria de criptografia e políticas de bucket arriscadas
• Status do bloqueio de acesso público
• Descoberta de arquivos/objetos sensíveis (.env, .git, credenciais)
• Detecção de segredos em conteúdo de texto profundo em objetos S3

CloudTrail e Registro

• Lacunas na cobertura de trilhas e registro multirregião
• Status de validação de registro
• Integração com CloudWatch Logs

Detecção de Segredos

• Variáveis de ambiente Lambda (10 padrões de segredo)
• Varredura de pacote de implantação Lambda (ZIP)
• Varredura de dados de usuário EC2
• Varredura de conteúdo de objetos S3 públicos
• Varredura de camadas de imagem ECR por credenciais embutidas
• Chaves AWS, tokens GitHub/Slack/Stripe

Segurança de Contêineres (NOVO)

Segurança ECS (10 verificações)

• Contêineres privilegiados
• Segredos em variáveis de ambiente
• Exposição de IP público
• Modo de rede do host
• Imagens não ECR
• Sistema de arquivos raiz gravável
• Capacidades Linux perigosas
• ECS Exec habilitado
• Status do Container Insights
• Papel de tarefa de administrador

Segurança EKS (12 verificações)

• Acesso a endpoint público
• Endpoint privado desabilitado
• Registro do plano de controle
• Criptografia de segredos
• Versão do Kubernetes
• Provedor OIDC para IRSA
• Modos de autenticação legados
• Nós em sub-rede pública
• Acesso SSH irrestrito
• Papel IAM de nó nível administrador
• Tipo de AMI (preferência Bottlerocket)

Detecção de Ataques de IA (NOVO)

Baseado em inteligência de ameaças de fevereiro de 2025: violação AWS de 8 minutos

• Monitoramento de instâncias GPU: Detecção de instâncias p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1
• Exposição pública de GPU: Instâncias GPU com IPs públicos
• Risco de IMDSv1 em GPU: Instâncias GPU vulneráveis a roubo de credenciais
• Abuso do Bedrock: Detecção de throughput provisionado de alta capacidade
• Modelos personalizados: Treinamento não autorizado de modelos Bedrock
• Registro do Bedrock: Falta de registro de invocação de modelos
• Provisionamento rápido: Detecção de limitação de API EC2 (padrão de ataque)

Resumo de Verificações de Segurança

Categoria	Contagem
Núcleo (IAM, VPC, S3, CloudTrail, Segredos)	38
Estendido (Lambda, ELB, Route53, Inspector, etc.)	35
Segurança de Contêineres (ECS + EKS)	22
Detecção de Ataques de IA	7
Total	102

Verificações Críticas de Segurança

Verificação	Severidade	Descrição
Escalação de Privilégios	🔴 Crítico	Usuário pode escalar para administrador
Acesso de Administrador (:)	🔴 Crítico	Acesso total AWS concedido
Segredos Expostos	🔴 Crítico	Chaves/tokens de API no Lambda/EC2
Bucket S3 Público	🔴 Crítico	Bucket acessível publicamente
Sem CloudTrail	🔴 Crítico	Sem registro de auditoria
SSH/RDP Abertos	🔴 Crítico	Porta 22/3389 para internet
Contêiner Privilegiado	🔴 Crítico	Contêiner ECS com acesso root
GPU IMDSv1	🔴 Crítico	Credenciais de instância GPU vulneráveis
Confiança entre Contas	🟠 Alto	Conta externa pode assumir papel
Endpoint Público do EKS	🟠 Alto	API Kubernetes acessível publicamente
Bedrock sem Registro	🟠 Alto	Uso do modelo de IA não auditado

Pré-requisitos

1. AWS CLI Instalado

# macOS
brew install awscli

# Linux
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install

2. Credenciais AWS Configuradas

aws configure
# ou use perfis nomeados
aws configure --profile myprofile

3. Permissões IAM Necessárias

Suas credenciais AWS devem ter acesso somente leitura aos serviços que estão sendo varridos. A política gerenciada AWS ReadOnlyAccess funciona, ou veja Permissões AWS Necessárias abaixo.

Nota: aws-perimeter realiza apenas operações de leitura e nunca modifica seus recursos AWS.

Instalação

Instalação Rápida (macOS/Linux)

curl -sSfL https://raw.githubusercontent.com/thirukguru/aws-perimeter/main/install.sh | sh

Usando Go

go install github.com/thirukguru/aws-perimeter@latest

Uso

aws-perimeter                          # Executar varredura de segurança completa
aws-perimeter --output json            # Saída JSON
aws-perimeter --profile prod           # Perfil AWS específico
aws-perimeter --region us-west-2       # Região específica
aws-perimeter --regions us-east-1,us-west-2            # Varredura multirregião
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4  # Multirregião com concorrência controlada
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4 --best-effort  # Sair com sucesso se pelo menos uma região for bem-sucedida
aws-perimeter --rules                   # Imprimir RULES.md no stdout (Markdown)
aws-perimeter --capabilities            # Imprimir visão geral de capacidades no stdout (Markdown)
aws-perimeter --all-regions                            # Varrer todas as regiões habilitadas
aws-perimeter --org-scan --org-role-name OrganizationAccountAccessRole  # Varredura de organização multi-conta
aws-perimeter --org-scan --max-parallel 5              # Concorrência de fanout org+região
aws-perimeter --output html --output-file report.html  # Gerar relatório HTML
aws-perimeter --store --profile prod --region us-west-2 # Executar + persistir varredura
aws-perimeter --trends --trend-days 30 --account-id 123456789012  # Mostrar tabela de tendências históricas
aws-perimeter history list --db-path ~/.aws-perimeter/history.db
aws-perimeter dashboard --port 8080