cartography

Cartography — это инструмент на Python, который извлекает инфраструктурные активы и их взаимосвязи в графовую базу данных Neo4j.

Что подключает: AWS, GCP, Azure, Kubernetes, GitHub, Okta, Entra ID, CrowdStrike и более 30 других платформ.

На какие вопросы отвечает:

• Какие идентификаторы имеют доступ к каким хранилищам данных? А как насчет нескольких арендаторов или провайдеров?
• Затрагивают ли меня какие-либо критические уязвимости или скомпрометированные пакеты программного обеспечения?
• Каковы сетевые пути внутрь и наружу моей среды?
• Какие вычислительные инстансы открыты для интернета?
• Какие ИИ-агенты работают в продакшене и какими правами они обладают?

Быстрый старт

Установка Cartography

pip install cartography

Вместо этого установите cartography[neo4j-rust], чтобы использовать Rust Bolt-кодек от Neo4j, что сокращает время синхронизации примерно на 20–30%. См. Ускоренный драйвер Neo4j.

Запуск базы данных Neo4j

docker run -d --publish=7474:7474 --publish=7687:7687 -v data:/data --env=NEO4J_AUTH=none neo4j:5-community

Убедитесь, что http://localhost:7474 доступен.

Синхронизация первого источника данных (пример AWS)

Убедитесь, что учетные данные AWS и регион по умолчанию настроены (например, через AWS_PROFILE, AWS_DEFAULT_REGION или ~/.aws/config). См. документацию по учетным данным AWS для справки.

Запустите Cartography:

cartography --neo4j-uri bolt://localhost:7687 --selected-modules aws

См. полное руководство по установке для других платформ.

Запросы к графу

Откройте http://localhost:7474 и попробуйте:

// Find unencrypted RDS instances by account
MATCH (a:AWSAccount)-[:RESOURCE]->(rds:AWSRDSInstance{storage_encrypted:false})
RETURN a.name, rds.id

// Find EC2 instances exposed to the internet
MATCH (instance:AWSEC2Instance{exposed_internet: true})
RETURN instance.instanceid, instance.publicdnsname

См. руководство по запросам и схему данных для дополнительных примеров использования.

Запуск правил безопасности

После того как Cartography заполнит достижимый граф Neo4j, вы можете просматривать, проверять и запускать правила безопасности. В этом быстром старте используется контейнер Neo4j без аутентификации, запущенный выше, поэтому пароль не требуется:

cartography-rules list
cartography-rules list object_storage_public
cartography-rules run object_storage_public

Для аутентифицированного Neo4j установите NEO4J_PASSWORD или используйте один из других безопасных вариантов пароля в документации по правилам.

Поддерживаемые платформы

Нажмите, чтобы развернуть полный список более чем 30 поддерживаемых платформ