aws-perimeter

Терминальный AWS Security Scanner с 100+ проверками безопасности по VPC, IAM, S3, CloudTrail, контейнерам (ECS/EKS) и обнаружением AI-атак. Обнаруживает опасные разрешения IAM, раскрытые секреты, неправильно настроенные S3-бакеты, уязвимости контейнеров и новые угрозы LLMjacking.

Обзор продукта: docs/CAPABILITIES_OVERVIEW.md

Возможности

Безопасность VPC

• Анализ групп безопасности (открытые SSH/RDP, порты БД)
• Обнаружение публичного доступа и риски управляющих портов
• Анализ сетевых ACL и аудит VPC Flow Log
• Риски пиринга VPC, обнаружение bastion-хостов
• Статус NAT Gateway и покрытие VPC endpoints

Безопасность IAM

• Обнаружение эскалации привилегий (17 паттернов)
• Устаревшие учётные данные (более 90 дней)
• Анализ доверия между аккаунтами
• Пробелы в принудительном использовании MFA
• Чрезмерно разрешающие политики (*:*)
• Цепочки ролей, внешние ID, границы разрешений

Безопасность S3

• Обнаружение публичных бакетов
• Аудит шифрования и опасные политики бакетов
• Статус блокировки публичного доступа
• Поиск конфиденциальных файлов/объектов (.env, .git, учётные данные)
• Глубокое обнаружение секретов в текстовом содержимом объектов S3

CloudTrail и логирование

• Пробелы в покрытии трейлов и мультирегиональное логирование
• Статус валидации логов
• Интеграция с CloudWatch Logs

Обнаружение секретов

• Переменные окружения Lambda (10 паттернов секретов)
• Сканирование пакетов развёртывания Lambda (ZIP)
• Сканирование пользовательских данных EC2
• Сканирование содержимого публичных объектов S3
• Сканирование слоёв образов ECR на встроенные учётные данные
• Ключи AWS, токены GitHub/Slack/Stripe

Безопасность контейнеров (НОВОЕ)

Безопасность ECS (10 проверок)

• Привилегированные контейнеры
• Секреты в переменных окружения
• Публичный IP-доступ
• Режим сетевого пространства хоста
• Образы не из ECR
• Записываемая корневая файловая система
• Опасные возможности Linux
• Включённый ECS Exec
• Статус Container Insights
• Административная роль задачи

Безопасность EKS (12 проверок)

• Публичный доступ к endpoint
• Отключённый приватный endpoint
• Логирование плоскости управления
• Шифрование секретов
• Версия Kubernetes
• Провайдер OIDC для IRSA
• Устаревшие режимы аутентификации
• Узлы в публичных подсетях
• Неограниченный SSH-доступ
• IAM-роль узла с правами администратора
• Тип AMI (предпочтение Bottlerocket)

Обнаружение AI-атак (НОВОЕ)

Основано на разведданных об угрозах за февраль 2025: взлом AWS за 8 минут

• Мониторинг GPU-инстансов: обнаружение инстансов p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1
• Публичный доступ к GPU: GPU-инстансы с публичными IP
• Риск IMDSv1 на GPU: GPU-инстансы, уязвимые для кражи учётных данных
• Злоупотребление Bedrock: обнаружение выделенной пропускной способности с высокой ёмкостью
• Пользовательские модели: несанкционированное обучение моделей Bedrock
• Логирование Bedrock: отсутствие логирования вызовов моделей
• Быстрое выделение ресурсов: обнаружение троттлинга API EC2 (паттерн атаки)

Сводка проверок безопасности

Категория	Количество
Основные (IAM, VPC, S3, CloudTrail, Секреты)	38
Расширенные (Lambda, ELB, Route53, Inspector и др.)	35
Безопасность контейнеров (ECS + EKS)	22
Обнаружение AI-атак	7
Всего	102

Критические проверки безопасности

Проверка	Серьёзность	Описание
Эскалация привилегий	🔴 Критический	Пользователь может повысить права до администратора
Административный доступ (:)	🔴 Критический	Предоставлен полный доступ к AWS
Раскрытые секреты	🔴 Критический	Ключи API/токены в Lambda/EC2
Публичный S3-бакет	🔴 Критический	Бакет общедоступен
Отсутствие CloudTrail	🔴 Критический	Нет аудита логирования
Открытые SSH/RDP	🔴 Критический	Порты 22/3389 в интернет
Привилегированный контейнер	🔴 Критический	Контейнер ECS с root-доступом
GPU IMDSv1	🔴 Критический	Учётные данные GPU-инстанса уязвимы
Доверие между аккаунтами	🟠 Высокий	Внешний аккаунт может принять роль
Публичный endpoint EKS	🟠 Высокий	Kubernetes API общедоступен
Отсутствие логирования Bedrock	🟠 Высокий	Использование AI-моделей не аудируется

Предварительные требования

1. Установленный AWS CLI

# macOS
brew install awscli

# Linux
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install

2. Настроенные учётные данные AWS

aws configure
# или используйте именованные профили
aws configure --profile myprofile

3. Необходимые разрешения IAM

Ваши учётные данные AWS должны иметь доступ только на чтение к сканируемым сервисам. Управляемая политика AWS ReadOnlyAccess подходит, или см. Необходимые разрешения ниже.

Примечание: aws-perimeter выполняет только операции чтения и никогда не изменяет ваши ресурсы AWS.

Установка

Быстрая установка (macOS/Linux)

curl -sSfL https://raw.githubusercontent.com/thirukguru/aws-perimeter/main/install.sh | sh

С использованием Go

go install github.com/thirukguru/aws-perimeter@latest

Использование

aws-perimeter                          # Запустить полное сканирование безопасности
aws-perimeter --output json            # Вывод в JSON
aws-perimeter --profile prod           # Указать профиль AWS
aws-perimeter --region us-west-2       # Указать регион
aws-perimeter --regions us-east-1,us-west-2            # Мультирегиональное сканирование
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4  # Мультирегиональное с контролем параллелизма
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4 --best-effort  # Выход с успехом, если хотя бы один регион успешен
aws-perimeter --rules                   # Вывести RULES.md в stdout (Markdown)
aws-perimeter --capabilities            # Вывести обзор возможностей в stdout (Markdown)
aws-perimeter --all-regions                            # Сканировать все включённые регионы
aws-perimeter --org-scan --org-role-name OrganizationAccountAccessRole  # Мультиаккаунтное сканирование организации
aws-perimeter --org-scan --max-parallel 5              # Параллелизм организация+регионы
aws-perimeter --output html --output-file report.html  # Сгенерировать HTML-отчёт
aws-perimeter --store --profile prod --region us-west-2 # Запустить + сохранить результат
aws-perimeter --trends --trend-days 30 --account-id 123456789012  # Показать таблицу исторических трендов
aws-perimeter history list --db-path ~/.aws-perimeter/history.db
aws-perimeter dashboard --port 8080