SCOPE: Security Cloud Ops Purple Engagement

SCOPE выполняет рабочие процессы фиолетовой команды AWS с детерминированным инвентарем на Python и ограниченными AI-агентами. Он аудирует ресурсы AWS, проверяет пути атак, генерирует playbooks для эксплуатации только для просмотра, создает контроли и направляет расследования Splunk.

Как это работает

Запускайте SCOPE из Claude Code, Antigravity CLI, Gemini CLI или Codex CLI:

/scope:audit --all

Быстрый старт

git clone https://github.com/tayontech/SCOPE.git
cd SCOPE
uv run python -m scope.install

export AWS_PROFILE=your-profile

/scope:audit --all
/scope:audit iam s3 lambda
/scope:exploit arn:aws:iam::123456789012:role/target-role
/scope:exploit
/scope:investigate

Требования: Python 3.11+, uv, AWS CLI с учетными данными только для чтения и одна поддерживаемая среда выполнения. Node.js поддерживает генерацию панелей мониторинга и транспорт Splunk MCP mcp-remote.

Установка через скрипты:

uv run python -m scope.install --claude --local --no-splunk-mcp
uv run python -m scope.install --antigravity --local --no-splunk-mcp
uv run python -m scope.install --gemini --local --no-splunk-mcp
uv run python -m scope.install --codex --local --no-splunk-mcp
uv run python -m scope.install --all --local --with-splunk-mcp

Интерактивная установка спрашивает, нужно ли настраивать встроенные настройки Splunk MCP по умолчанию. Установка через скрипты пропускает настройки сервера MCP, если не передать --with-splunk-mcp. Используйте --no-splunk-mcp, когда автоматизация должна отображать выбор в логах. SCOPE остается ориентированным на SPL, пока проект не добавит профили языков запросов. См. config/mcp-setup.md.

Безопасность

Агенты SCOPE по умолчанию выполняют только операции чтения AWS. config/hooks/scope-safety-guard.sh блокирует деструктивные операции оболочки AWS перед выполнением. Аудит и эксплуатация могут записывать артефакты команд воспроизведения AWS CLI для просмотра человеком; агенты не выполняют эти команды записи.

Панель мониторинга

Сгенерируйте один автономный отчет для выполнения:

cd dashboard && npm run dashboard
open dashboard/reports/<run-id>-dashboard.html

Имя базового каталога явного выполнения аудита становится идентификатором выполнения панели мониторинга. dashboard/public/index.json хранит reports[]; каждый отчет указывает на один экспорт JSON аудита и опциональный экспорт JSON контролей. Контроли прикрепляются к отчету аудита, поэтому один рабочий процесс аудита создает один выбираемый отчет панели мониторинга.

Панель мониторинга показывает графы атак, детали путей, результаты обнаружения публичного доступа, контроли, обнаружения SPL, идеи панелей, замены политик и исправления.

Платформы

Google объявила 19 мая 2026 года, что расширения Gemini CLI и Gemini Code Assist IDE прекращают обслуживание запросов для Google AI Pro, Ultra и бесплатных индивидуальных пользователей 18 июня 2026 года. Используйте Antigravity CLI для новых установок Google. SCOPE сохраняет --gemini для корпоративных пользователей/пользователей с API-ключами и для миграции.

Агенты и модели

Агенты верхнего уровня наследуют модель сессии среды выполнения:

• scope-audit координирует шлюзы аудита, выполнение среды выполнения Python, анализ атак, артефакты воспроизведения и цепочку контролей.
• scope-controls координирует общеорганизационные проблемы, обнаружения, идеи панелей, замены политик, исправления и проверку.
• scope-exploit генерирует playbooks красной команды, ограниченные принципалом.
• scope-investigate запускает режимы расследования: по оповещениям, с направляемым выполнением и на основе разведданных.

Суб-агенты выполняют ограниченные задачи рассуждения:

• scope-attack-analyze, scope-attack-validate, scope-public-exposure-analysis и scope-awscli-replay поддерживают анализ путей атак и артефакты воспроизведения.
• scope-controls-org-wide, scope-controls-detections, scope-controls-dashboards, scope-controls-policy, scope-controls-remediation и scope-controls-validate поддерживают контроли.
• scope-investigate-alert, scope-investigate-intel и scope-investigate-run готовят контекст расследования.

Когда вы запускаете /scope:audit --all, оркестратор запускается в вашей модели сессии, вызывает scope audit для детерминированной перечислительной части Python и постобработки, подготавливает кандидатов IAM и публично/сервисно-связанных с помощью scope.attack.candidates, отправляет scope-attack-analyze, опционально обогащает кандидатов через scope-research, затем может генерировать артефакты воспроизведения AWS CLI только для просмотра для проверенных путей перед связыванием контролей на модели рассуждений.

Суб-агенты Claude используют псевдоним opus[1m] для большего контекста во время анализа и проверки с большим количеством артефактов. Перечисление использует детерминированный Python, а не модель ИИ.

Документация

Сообщество

• Issues
• Pull Requests

Создано Tayvion Payton