Фреймворк для унифицированного аудита уязвимостей и дефектов. Абсолютный фреймворк аудита безопасности AWS Cloud, который делает аудит безопасности настолько простым, что вы справитесь с ним, даже если вы сонный!
Framework for Unified Flaw & Fault Auditing
Лучший фреймворк для аудита безопасности AWS Cloud, который делает аудит безопасности настолько простым, что вы справитесь с ним даже сонным! 😴
Ключевые возможности • Как это работает • Установка • Быстрый старт • Руководство по использованию • Участие в разработке
🔐 Обнаружение утечек секретовСканирование репозиториев на наличие жёстко закодированных учётных данных с помощью более чем 50 шаблонов, включая ключи AWS, API-токены и приватные ключи. Включает обнаружение на основе энтропии Шеннона. |
☁️ Ошибки конфигурации AWSКомплексные проверки S3, EC2, IAM, RDS, Lambda, VPC и CloudTrail, чтобы ваша облачная инфраструктура соответствовала лучшим практикам. |
📜 Сканирование IaCАнализ файлов Terraform, CloudFormation, Serverless и Kubernetes на наличие уязвимостей безопасности до развёртывания с помощью движка Checkov. |
👤 Анализ разрешений IAMВизуализация и анализ разрешений IAM для обнаружения путей повышения привилегий и чрезмерно широких политик с помощью графового сопоставления. |
FuFuFaFa оптимизирует ваш рабочий процесс аудита безопасности. Вот схема процесса:
graph TD
A[Start Scan] --> B{Select Scan Type}
B -->|Secrets| C[Cloning Repository]
C --> D[Regex & Entropy Analysis]
D --> E[Git History Scan]
B -->|Cloud| F[AWS API Calls]
F --> G[Resource Enumeration]
G --> H[Security Rule Check]
B -->|IaC| I[Parse Infrastructure Code]
I --> J[Checkov Policy Scan]
B -->|IAM| K[Fetch IAM Policies]
K --> L[Neo4j Graph Building]
L --> M[Privilege Path Analysis]
E --> N[Generate Report]
H --> N
J --> N
M --> N
N --> O((End))
style A fill:#4F46E5,stroke:#333,stroke-width:2px,color:#fff
style N fill:#10B981,stroke:#333,stroke-width:2px,color:#fff
style O fill:#EF4444,stroke:#333,stroke-width:2px,color:#fff
# 1. Clone the repository
git clone https://github.com/Masriyan/FuFuFaFa.git
cd FuFuFaFa
# 2. Set up virtual environment
python -m venv .venv
source .venv/bin/activate # On Windows: .venv\Scripts\activate
# 3. Install dependencies
pip install -e ".[dev]"
# 4. Start database services
docker-compose up -d postgres redis neo4j
# 5. Initialize database
fufufafa init-db
Запуститесь за считанные секунды!
# 1. Verify installation
fufufafa --version
# 2. Run a secret scan on a local repo
fufufafa secret scan ./your-project
# 3. Scan your default AWS profile
fufufafa cloud scan
# 4. View help for more commands
fufufafa --help
Находите скрытые секреты в вашем коде, даже глубоко в истории git.
fufufafa secret scan ./target-repo --history
Параметры:
--history: сканировать всю историю git--entropy 4.5: задать пользовательский порог энтропии--json: выводить результаты в формате JSONПроведите аудит вашей среды AWS на наличие проблем безопасности.
fufufafa cloud scan --profile production --regions us-east-1,us-west-2
Параметры:
--profile: указать профиль AWS CLI--services s3,ec2,iam: контекстное сканирование--fix: попытаться выполнить автоматическое исправление (используйте с осторожностью!)Сдвиньте проверки влево, сканируя код вашей инфраструктуры.
fufufafa iac scan ./terraform-files
Визуализируйте пути разрешений и находите опасные роли.
fufufafa iam analyze --graph
Примечание: требуется запущенный сервис Neo4j.
Фреймворк FuFuFaFa построен с расчётом на модульность и масштабируемость.
C4Context
title System Context Diagram for FuFuFaFa
Person(user, "Security Auditor", "Uses FuFuFaFa to audit cloud security.")
System(fufufafa, "FuFuFaFa Framework", "CLI tool for scanning secrets, cloud config, IaC, and IAM.")
System_Ext(aws, "AWS Cloud", "Target environment for auditing.")
System_Ext(neo4j, "Neo4j Database", "Stores IAM graph relationships.")
System_Ext(postgres, "PostgreSQL", "Stores finding results and reports.")
Rel(user, fufufafa, "Runs CLI commands")
Rel(fufufafa, aws, "Reads configuration via API")
Rel(fufufafa, neo4j, "Queries/Updates Graph")
Rel(fufufafa, postgres, "Persists Audit Data")
Мы приветствуем вклад! Подробности см. в нашем руководстве по участию.
Сделано с ❤️ и ☕ командой FuFuFaFa