Анализатор и средство устранения рисков нечеловеческих идентичностей (NHI) в мультиоблачной среде

Корпоративная платформа автоматизации безопасности с приоритетом работы в офлайн-режиме, которая обнаруживает, инвентаризирует, анализирует, оценивает риски и безопасно устраняет нечеловеческие идентичности (NHI) — субъекты-службы, сервисные учётные записи, машинные роли, ключи доступа и учётные данные — в средах AWS, Azure и Google Cloud Platform (GCP).

⭐️ Если этот инструмент оказался полезен для аудита и защиты нечеловеческих идентичностей в облаках, пожалуйста, поставьте звезду репозиторию!

---

🌐 Покрытие мультиоблачных идентичностей

Облачный провайдер	Охватываемые типы идентичностей	Механизм обнаружения	Проверка секретов / учётных данных	Активные правила	Статус
🟧 AWS	Роли IAM, машинные пользователи, группы, политики	Boto3 + кэширование сессий	Ключи доступа (CreateDate, LastUsed)	13 правил (AWS_01–16, TAG_01)	✅ Поддерживается
🟦 Azure	Субъекты-службы Entra ID, регистрации приложений, управляемые идентичности	Чистый REST (Graph и ARM)	Секреты клиента (passwordCredentials), сертификаты (keyCredentials)	5 правил (AZURE_01–05)	✅ Поддерживается
🟥 GCP	Сервисные учётные записи, Workload Identity, роли IAM	Чистый REST (IAM и Resource Mgr)	Ключи сервисных учётных записей (validAfterTime, управляемые пользователем)	6 правил (GCP_01–06)	✅ Поддерживается

🧪 Статус набора тестов: 102 пройдено, 4 подтеста пройдено (100% ЗЕЛЁНЫЙ) по всем провайдерам и механизмам.

---

📋 Обзор

NHI Risk Analyzer решает критическую задачу мультиоблачной безопасности: современные корпоративные облачные среды накапливают сотни машинных и нечеловеческих идентичностей (сервисные учётные записи, роли автоматизации, учётные данные CI/CD, роли межоблачного доверия) при минимальной видимости того, какие идентичности обладают избыточными привилегиями, находятся в спящем состоянии или создают риск повышения привилегий.

Платформа обеспечивает строгое архитектурное разделение на три отдельные фазы:

1. Сбор мультиоблачного состояния: Загрузка в нормализованный снимок inventory.json через лёгкие облачные механизмы (Boto3 с кэшированием сессий для AWS; чистый REST без зависимостей для Azure и GCP).
2. Офлайн-оценка рисков: Оценка правил безопасности по снимку без зависимостей от живой сети. Это означает, что механизм оценки рисков можно повторно запускать, тестировать и дорабатывать без повторного обращения к облачным провайдерам, а каждая находка воспроизводима относительно точного состояния аккаунта/тенанта, из которого она была получена.
3. Автоматизированное устранение и локализация: Конвейер локализации с отказом в безопасную сторону (fail-closed), который нейтрализует опасные пути атак с повышением привилегий через границы политик и деактивирует устаревшие/спящие учётные данные, не вызывая сбоев в работе микросервисов.

---

🎯 Зачем существует этот проект

Корпоративные мультиоблачные среды регулярно содержат нечеловеческие идентичности, которые:

• Нестандартизированы: Созданы вручную в разных облаках без единых стандартов предоставления.
• Наделены избыточными правами: Им предоставлены административные или wildcard-разрешения, значительно превышающие фактические операционные потребности.
• Спящие и забытые: Остаются активными спустя долгое время после вывода из эксплуатации рабочих нагрузок или конвейеров интеграции.
• Неполно проверены: Несут встроенные политики, пользовательские определения ролей или прямые привязки, обходящие стандартные проверки соответствия.
• Риски учётных данных: Используют ключи доступа, секреты клиента или ключи сервисных учётных записей, которые устарели (>90 дней), истекают или никогда не использовались с момента создания.
• Склонны к повышению привилегий: Обладают разрешениями облачного IAM, которые по отдельности или в сочетании позволяют повысить привилегии до полного административного доступа — задокументированные пути атак, которые большинство сканеров, работающих только с политиками, не проверяют.

NHI Risk Analyzer автоматизирует обнаружение, анализ безопасности и целенаправленное устранение проблем у облачных провайдеров с помощью облачных API и офлайн-обработки правил.

---

🏗️ Архитектура и рабочий процесс

  ┌──────────────┐         ┌──────────────┐         ┌──────────────┐
  │   AWS IAM    │         │  Azure Entra │         │   GCP IAM    │
  │   (Boto3)    │         │  (Pure REST) │         │  (Pure REST) │
  └──────┬───────┘         └──────┬───────┘         └──────┬───────┘
         │                        │                        │
         └────────────────┐       │       ┌────────────────┘
                          ▼       ▼       ▼
                    ┌───────────────────────────┐
                    │       inventory.py        │
                    │ (Multi-Cloud Collector)   │
                    └─────────────┬─────────────┘
                                  ▼
                    ┌───────────────────────────┐
                    │      inventory.json       │
                    │  (Unified State Snapshot) │
                    └─────────────┬─────────────┘
                                  │
                                  ▼
                    ┌───────────────────────────┐
                    │          risk.py          │
                    │    (--cloud Orchestrator) │
                    └─────────────┬─────────────┘
                                  │
         ┌────────────────────────┼────────────────────────┐
         ▼                        ▼                        ▼
  ┌──────────────┐         ┌──────────────┐         ┌──────────────┐
  │  aws.py sub- │         │ azure.py sub-│         │  gcp.py sub- │
  │    runner    │         │    runner    │         │    runner    │
  │ (13 Rules)   │         │  (5 Rules)   │         │  (6 Rules)   │
  └──────┬───────┘         └──────┬───────┘         └──────┬───────┘
         └────────────────────────┼────────────────────────┘
                                  ▼
                    ┌───────────────────────────┐
                    │        dispatch.py        │
                    │ (Containment Dispatcher)  │
                    └─────────────┬─────────────┘
                                  │
         ┌────────────────────────┴────────────────────────┐
         ▼                                                 ▼
┌─────────────────────────┐                     ┌─────────────────────┐
│ policy_surgery.py &     │                     │    credential.py    │
│ policy.py (Boundaries)  │                     │ (Deactivate Key)    │
└─────────────────────────┘                     └─────────────────────┘