CloudSploit от Aqua — облачные проверки безопасности

Быстрый старт

Общий

$ git clone https://github.com/aquasecurity/cloudsploit.git
$ cd cloudsploit
$ npm install
$ ./index.js -h

Docker

$ git clone https://github.com/aquasecurity/cloudsploit.git
$ cd cloudsploit
$ docker build . -t cloudsploit:0.0.1
$ docker run cloudsploit:0.0.1 -h
$ docker run -e AWS_ACCESS_KEY_ID=XX -e AWS_SECRET_ACCESS_KEY=YY cloudsploit:0.0.1 --compliance=pci

Документация

• Общая информация
• Варианты развертывания
  • Самостоятельное размещение
  • Размещение в Aqua Wave
• Установка
• Настройка
  • Amazon Web Services
  • Microsoft Azure
  • Google Cloud Platform
  • Oracle Cloud Infrastructure
  • Файл конфигурации CloudSploit
  • Файлы учетных данных
    • AWS
    • Azure
    • GCP
    • Oracle OCI
  • Переменные окружения
• Запуск
• Параметры CLI
• Соответствие стандартам
  • HIPAA
  • PCI
  • CIS Benchmarks
• Форматы вывода
  • Вывод в консоль
  • Игнорирование успешных результатов
  • CSV
  • JSON
  • JUnit XML
  • Вывод коллекции
• Подавление результатов
• Запуск одного плагина
• Архитектура
• Написание плагина
• Прочие замечания

Общая информация

CloudSploit от Aqua — это проект с открытым исходным кодом, предназначенный для обнаружения рисков безопасности в облачных инфраструктурных учетных записях, включая: Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform (GCP), Oracle Cloud Infrastructure (OCI) и GitHub. Эти скрипты предназначены для возврата серии потенциальных неправильных конфигураций и рисков безопасности.

Варианты развертывания

CloudSploit доступен в двух вариантах развертывания:

Самостоятельное размещение

Следуйте инструкциям ниже, чтобы развернуть версию CloudSploit с открытым исходным кодом на вашей машине всего за несколько простых шагов.

Размещение в Aqua Wave

Коммерческая версия CloudSploit, размещенная в Aqua Wave. Попробуйте Aqua Wave уже сегодня!

Установка

Убедитесь, что NodeJS установлен. Если нет, установите его отсюда.

$ git clone [email protected]:cloudsploit/scans.git
$ npm install

Настройка

CloudSploit требует доступ только для чтения к вашей облачной учетной записи. Следуйте инструкциям ниже, чтобы предоставить этот доступ:

• Amazon Web Services
• Microsoft Azure
• Google Cloud Platform
• Oracle Cloud Infrastructure

Для AWS вы можете запустить CloudSploit напрямую, и он обнаружит учетные данные, используя стандартную цепочку поставщиков учетных данных AWS.

Файл конфигурации CloudSploit

Файл конфигурации CloudSploit позволяет передавать учетные данные облачного провайдера:

1. Файлом JSON в вашей файловой системе
2. Переменными окружения
3. Жестким кодированием (не рекомендуется)

Начните с копирования примера файла конфигурации:

$ cp config_example.js config.js

Отредактируйте файл конфигурации, раскомментировав соответствующие разделы для тестируемого облачного провайдера. Для каждого облака доступен как параметр credential_file, так и встроенные параметры. Например:

azure: {
    // ВАРИАНТ 1: Если используется файл JSON с учетными данными, укажите путь ниже
    // credential_file: '/path/to/file.json',
    // ВАРИАНТ 2: Если используются жестко закодированные учетные данные, укажите их ниже
    // application_id: process.env.AZURE_APPLICATION_ID || '',
    // key_value: process.env.AZURE_KEY_VALUE || '',
    // directory_id: process.env.AZURE_DIRECTORY_ID || '',
    // subscription_id: process.env.AZURE_SUBSCRIPTION_ID || ''
}

Файлы учетных данных

Если вы используете параметр credential_file, укажите файл в вашей файловой системе, который соответствует правильному формату для используемого облака.

AWS

{
  "accessKeyId": "YOURACCESSKEY",
  "secretAccessKey": "YOURSECRETKEY"
}

Azure

{
  "ApplicationID": "YOURAZUREAPPLICATIONID",
  "KeyValue": "YOURAZUREKEYVALUE",
  "DirectoryID": "YOURAZUREDIRECTORYID",
  "SubscriptionID": "YOURAZURESUBSCRIPTIONID"
}

GCP

Примечание: Для GCP вы создаете файл JSON напрямую из консоли GCP, который не следует редактировать.

{
    "type": "service_account",
    "project": "GCPPROJECTNAME",
    "client_email": "GCPCLIENTEMAIL",
    "private_key": "GCPPRIVATEKEY"
}

Oracle OCI

{
  "tenancyId": "YOURORACLETENANCYID",
  "compartmentId": "YOURORACLECOMPARTMENTID",
  "userId": "YOURORACLEUSERID",
  "keyFingerprint": "YOURORACLEKEYFINGERPRINT",
  "keyValue": "YOURORACLEKEYVALUE",
}

Переменные окружения

CloudSploit поддерживает передачу переменных окружения, но сначала необходимо раскомментировать раздел вашего файла config.js, относящийся к сканируемому облачному провайдеру.

После этого вы можете передавать переменные, перечисленные в каждом разделе. Например, для AWS:

{
  access_key: process.env.AWS_ACCESS_KEY_ID || '',
  secret_access_key: process.env.AWS_SECRET_ACCESS_KEY || '',
  session_token: process.env.AWS_SESSION_TOKEN || '',
}

Запуск

Для запуска стандартного сканирования, показывающего все выходные данные и результаты, просто выполните:

$ ./index.js

Параметры CLI

CloudSploit поддерживает множество параметров для настройки времени выполнения. Некоторые популярные параметры включают:

• Поддержка AWS GovCloud: --govcloud
• Поддержка AWS China: --china
• Сохранение необработанных данных ответа облачного провайдера: --collection=file.json
• Игнорирование успешных (OK) результатов: --ignore-ok
• Выход с ненулевым кодом при обнаружении не проходящих результатов: --exit-code
  • Это хороший вариант для систем CI/CD
• Изменение вывода с таблицы на обычный текст: --console=text

См. Форматы вывода ниже для получения дополнительных опций вывода.

$ ./index.js -h