coalmine

Облачное управление canary-токенами — Развертывайте, отслеживайте и ротируйте обманные учетные данные в AWS и GCP для обнаружения несанкционированного доступа.

[!WARNING] Альфа-версия — Coalmine находится на ранней стадии разработки. Базовый функционал является текущим приоритетом, и приложение не следует считать полностью проверенным на безопасность для использования в production.

Статус

Функционально	В разработке (нестабильно)	В планах
Canary-пользователи IAM AWS	Canary-сервисные аккаунты GCP	Поддержка Azure
Canary-корзины S3 AWS	Canary-корзины GCP	Интеграция с SIEM
Мониторинг CloudTrail	Мониторинг журналов аудита GCP
Бэкенд состояния PostgreSQL	Автоматическая ротация
REST API (аутентификация по ключу API + сессии)
Веб-интерфейс (панель управления)
Оповещения по email и webhook
Управление учетными данными и аккаунтами
RBAC (Casbin)

Обзор

Coalmine автоматически развертывает и отслеживает «canary-токены» — обманные учетные данные и ресурсы, которые вызывают оповещение при доступе злоумышленников.

Поддерживаемые провайдеры:

• AWS: пользователи IAM, корзины S3
• GCP: сервисные аккаунты, корзины Cloud Storage

Возможности

• Поддержка нескольких облаков — AWS и GCP из единого интерфейса
• Модель учетных данных и аккаунтов — Управление облачными учетными данными и аккаунтами через CLI, API или синхронизацию YAML
• Автоматическая ротация — Учетные данные ротируются с настраиваемыми интервалами
• Централизованный мониторинг — Интеграция с CloudTrail и журналами аудита GCP
• Гибкое оповещение — Оповещения по email, webhook и syslog
• Инфраструктура как код — Ресурсы, управляемые OpenTofu
• REST API — Программный доступ с аутентификацией по ключу API или сессии
• Веб-интерфейс — Панель управления в браузере по адресу /ui
• RBAC — Управление доступом на основе ролей через Casbin
• CLI — Группированная структура подкоманд (coalmine <resource> <action>)

Быстрый старт

Предварительные требования

• Docker & Docker Compose
• Учетные данные AWS (для canary AWS)
• Учетные данные GCP (для canary GCP)

1. Клонирование и настройка

git clone https://github.com/yourorg/coalmine.git
cd coalmine
cp .env.example .env
# Отредактируйте .env, указав свои данные для подключения к БД и облачные учетные данные

2. Запуск сервисов

docker compose up -d

Это запустит API, Celery worker, Redis и PostgreSQL. Веб-интерфейс будет доступен по адресу http://localhost:8000/ui.

3. Регистрация учетных данных и аккаунтов

# Добавление учетных данных AWS
docker compose exec app coalmine credentials add my-aws-cred AWS \
  --secrets '{"access_key_id": "...", "secret_access_key": "...", "region": "us-east-1"}'

# Добавление аккаунта под этими учетными данными
docker compose exec app coalmine accounts add prod-east --credential my-aws-cred \
  --account-id 111111111111

# Или синхронизация учетных данных и аккаунтов из YAML-конфига
docker compose exec app coalmine credentials sync --dry-run

4. Создание ресурса для логирования

# Создание назначения логирования CloudTrail
docker compose exec app coalmine logs create my-trail AWS_CLOUDTRAIL \
  --account <ACCOUNT_ID>

# Список ресурсов логирования
docker compose exec app coalmine logs list

5. Развертывание canary

# Создание canary-пользователя IAM AWS
docker compose exec app coalmine canary create my-canary AWS_IAM_USER \
  --account <ACCOUNT_ID> --logging-id <LOGGING_ID>

# Список canary
docker compose exec app coalmine canary list

6. Проверка обнаружения

# Запуск тестового оповещения
docker compose exec app coalmine canary trigger my-canary

# Дождитесь цикла мониторинга (~1 мин), затем проверьте оповещения
docker compose exec app coalmine alerts list

Архитектура

┌─────────────┐   ┌─────────────┐   ┌─────────────┐
│     CLI     │   │  REST API   │   │   WebUI     │
│  (coalmine) │   │  (FastAPI)  │   │  (React)    │
└──────┬──────┘   └──────┬──────┘   └──────┬──────┘
       │                 │                 │
       └────────┬────────┴────────┬────────┘
                │                 │
                │          ┌──────▼──────┐
                │          │Auth / RBAC  │
                │          │  (Casbin)   │
                │          └──────┬──────┘
                │                 │
         ┌──────▼─────────────────▼──────┐
         │         Celery Workers        │
         │  (Canary · Monitoring · Logs) │
         └──────────────┬────────────────┘
                        │
      ┌─────────────────┼─────────────────┐
      │                 │                 │
┌─────▼─────┐   ┌──────▼──────┐   ┌──────▼──────┐
│ OpenTofu  │   │  Monitors   │   │Notifications│
│ Templates │   │(CloudTrail/ │   │(Email/Hook/ │
│           │   │ Audit Logs) │   │   Syslog)   │
└─────┬─────┘   └──────┬──────┘   └─────────────┘
      │                │
┌─────▼─────┐   ┌──────▼──────┐
│ AWS / GCP │   │   Alerts    │
│(Resources)│   │    (DB)     │
└───────────┘   └─────────────┘

          ┌─────────────────┐
          │   PostgreSQL    │
          │   (Inventory)   │
          └────────┬────────┘
                   │
          ┌────────▼────────┐
          │   Celery Beat   │
          │   (Scheduler)   │
          └─────────────────┘

Справочник CLI

Команды следуют шаблону: coalmine <resource> <action> [options]

Команды для canary

Команда	Описание
canary create <name> <type>	Создать новый canary
canary list	Список всех canary
canary delete <name_or_id>	Удалить canary
canary creds <name>	Получить учетные данные canary
canary trigger <name_or_id>	Проверить обнаружение canary

Команды для учетных данных

Команда	Описание
credentials list	Список всех учетных данных
credentials add <name> <provider>	Добавить учетные данные
credentials update <name_or_id>	Обновить учетные данные
credentials remove <name_or_id>	Удалить учетные данные
credentials validate <name_or_id>	Проверить работоспособность учетных данных
credentials sync [--dry-run]	Синхронизировать из YAML-конфига

Команды для аккаунтов

Команда	Описание
accounts list [--credential <name>]	Список всех аккаунтов
accounts add <name>	Добавить аккаунт
accounts update <name_or_id>	Обновить аккаунт
accounts enable <name_or_id>	Включить аккаунт
accounts disable <name_or_id>	Отключить аккаунт
accounts remove <name_or_id>	Удалить аккаунт
accounts validate <name_or_id>	Проверить работоспособность аккаунта

Команды для логирования

Команда	Описание
logs create <name> <type>	Создать ресурс логирования
logs list	Список ресурсов логирования
logs scan --account <id>	Сканировать существующие CloudTrail

Команды для оповещений

Команда	Описание
alerts list [--canary <name>]	Просмотр оповещений безопасности

Команды для аутентификации

Команда	Описание
auth key list	Список ключей API
auth key add <name>	Добавить ключ API
auth session list	Список активных сессий

Команды для пользователей

Команда	Описание
user list	Список всех пользователей
user roles	Список доступных ролей

Команды для задач