threatmap — Моделировщик угроз IaC с использованием фреймворков STRIDE, MITRE ATT&CK и PASTA. Поддержка REST API, GraphQL и Docker для Terraform, CloudFormation и Kubernetes. | Kitploit

# STRIDE (по умолчанию)
threatmap scan ./infra/ --framework stride

# MITRE ATT&CK (сопоставляет тактики и техники)
threatmap scan ./infra/ --framework mitre --format json

# PASTA (ориентированное на активы моделирование угроз)
threatmap scan ./infra/ --framework pasta --format json

ID	Серьёзность	Категория STRIDE	Ресурс	Описание
T-001	🔴 CRITICAL	Information Disclosure	`AuditBucket`	S3 bucket 'AuditBucket' не имеет настроенного блока публичного доступа — bucket может быть общедоступен.
T-002	🔴 CRITICAL	Spoofing	`WebSecurityGroup`	Группа безопасности 'WebSecurityGroup' открывает SSH/RDP (порт 22/3389) для 0.0.0.0/0.
T-003	🔴 CRITICAL	Elevation of Privilege	`app_contributor`	Назначение роли 'app_contributor' предоставляет привилегированную роль 'Contributor'.
T-006	🟠 HIGH	Information Disclosure	`AuditBucket`	S3 bucket 'AuditBucket' не использует шифрование на стороне сервера.
T-008	🟠 HIGH	Elevation of Privilege	`api`	Контейнер 'api' в Deployment 'api' может работать от root (нет runAsNonRoot=true или runAsUser=0).
T-011	🟠 HIGH	Elevation of Privilege	`web`	EC2 instance 'web' поддерживает IMDSv1 — метаданные доступны без токенов сессии, что позволяет кражу учётных данных через SSRF.

### T-002 — Spoofing (CRITICAL)

Resource:   AWS::EC2::SecurityGroup.WebSecurityGroup
Property:   ingress.ssh_rdp_open
Finding:    Security group 'WebSecurityGroup' exposes SSH/RDP (port 22/3389) to 0.0.0.0/0.
Mitigation: Remove public SSH/RDP access. Use AWS Systems Manager Session Manager
            or a bastion host with IP restrictions.

flowchart LR
    Internet((Internet))
    subgraph Networking
        aws_security_group_web_sg{web_sg}
        NetworkPolicy_default_deny{default-deny}
        azurerm_network_security_group_app_nsg{app_nsg}
    end
    subgraph Compute
        aws_instance_web[web]
    end
    subgraph Kubernetes
        Namespace_myapp[myapp]
        Deployment_api[api]
        Service_api_svc[api-svc]
        Ingress_api_ingress[api-ingress]
    end
    subgraph Data
        aws_s3_bucket_app_data[(app_data)]
        aws_db_instance_app_db[(app_db)]
        azurerm_storage_account_app_storage[(app_storage)]
    end
    subgraph Security
        azurerm_key_vault_app_kv[app_kv]
    end
    subgraph Identity
        azurerm_role_assignment_app_contributor[/app_contributor/]
    end
    AWS__S3__Bucket_AppBucket -->|ref| AWS__S3__Bucket_AuditBucket
    AWS__CloudTrail__Trail_AppTrail -->|ref| AWS__S3__Bucket_AuditBucket
    Internet -->|HTTPS| Ingress_api_ingress
    style aws_security_group_web_sg fill:#ff4444,color:#fff
    style aws_s3_bucket_app_data fill:#ff4444,color:#fff
    style aws_instance_web fill:#ff8800,color:#fff
    style Deployment_api fill:#ff8800,color:#fff
    style azurerm_key_vault_app_kv fill:#ffcc00,color:#000
    style azurerm_network_security_group_app_nsg fill:#ff8800,color:#fff
    style azurerm_role_assignment_app_contributor fill:#ff4444,color:#fff

rules:
  - resource_type: "aws_s3_bucket"
    property: "force_destroy"
    expected: false
    stride: "Tampering"
    severity: "MEDIUM"
    description: "Production buckets should not have force_destroy enabled."
    mitigation: "Set force_destroy = false."

threatmap/analyzers/
├── aws.py         # 22 правила — S3, IAM, EC2, RDS, EKS, CloudTrail, KMS, Lambda
├── azure.py       # 19 правил — Storage, Key Vault, NSG, RBAC, AKS, ACR, SQL
├── gcp.py         # 15 правил — GCS, Firewall, Compute, Cloud SQL, GKE, IAM, KMS
└── kubernetes.py  # 17 правил — workloads, RBAC, network, secrets

Серьёзность	Значение
CRITICAL	Напрямую эксплуатируемо без дополнительных условий (например, SSH открыт для 0.0.0.0/0, политика IAM с wildcard, привязка cluster-admin к anonymous)
HIGH	Значительный риск, требующий одного дополнительного шага (например, незашифрованная RDS с публичным доступом, IMDSv1 на EC2)
MEDIUM	Отсутствие элементов защиты в глубину — более низкий непосредственный риск, но нарушение базовых стандартов безопасности (например, отсутствие версионирования, логирования, ограничений ресурсов)
LOW	Пробелы в лучших практиках с ограниченной самостоятельной эксплуатируемостью (например, Lambda не в VPC)

# .github/workflows/threat-model.yml
name: Threat Model

on: [pull_request]

jobs:
  threatmap:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Set up Python
        uses: actions/setup-python@v5
        with:
          python-version: "3.11"

      - name: Install threatmap
        run: pip install threatmap

      - name: Run threat model scan
        run: |
          threatmap scan ./infra/ \
            --format markdown \
            --output threat-report.md \
            --fail-on HIGH

      - name: Upload threat report
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: threat-report
          path: threat-report.md

Формат	Провайдер	Расширение
Terraform HCL	AWS, Azure, GCP	`.tf`
CloudFormation	AWS	`.yaml`, `.yml`, `.json`
Kubernetes manifests	Kubernetes	`.yaml`, `.yml`

Провайдер	Правила
AWS (Terraform + CloudFormation)	22
Azure (Terraform)	19
GCP (Terraform)	15
Kubernetes	17
Итого	73

Provider	S	T	R	I	D	E
AWS	✓	✓	✓	✓	✓	✓
Azure	✓	✓	✓	✓	—	✓
GCP	✓	✓	✓	✓	—	✓
Kubernetes	✓	✓	—	✓	✓	✓

threatmap

Популярное

Быстрый старт

Поддерживаемые форматы и провайдеры

Установка

Использование

Фреймворки моделирования угроз

Пример вывода отчёта

Таблица угроз STRIDE

Детали устранения (отрывок)

Диаграмма потоков данных (Mermaid)

Расширенные возможности (v2.1.0+)

Анализ путей атак на основе графа

Пользовательские правила YAML

Подсказки по устранению

Архитектура

Как назначаются уровни серьёзности

Как избегаются ложные срабатывания

Интеграция с CI

Покрытие правил STRIDE

Разработка

Участие в разработке