🛡️ FuFuFaFa 框架

统一缺陷与故障审计框架
终极 AWS 云安全审计框架，让安全审计变得如此简单，即使你昏昏欲睡也能轻松完成！ 😴

核心功能 • 工作原理 • 安装 • 快速开始 • 使用指南 • 贡献

🌟 核心功能

🔐 密钥泄露检测

使用 50 多种模式扫描代码仓库中的硬编码凭据，包括 AWS 密钥、API 令牌和私钥。包含香农熵检测。

☁️ AWS 错误配置

对 S3、EC2、IAM、RDS、Lambda、VPC 和 CloudTrail 进行全面检查，确保你的云基础设施遵循最佳实践。

📜 IaC 扫描

使用 Checkov 引擎在部署前分析 Terraform、CloudFormation、Serverless 和 Kubernetes 文件中的安全缺陷。

👤 IAM 权限分析

通过基于图的映射，可视化并分析 IAM 权限，以检测权限提升路径和过度宽松的策略。

🔄 工作原理

FuFuFaFa 简化你的安全审计工作流程。以下是流程：

graph TD
    A[Start Scan] --> B{Select Scan Type}
    
    B -->|Secrets| C[Cloning Repository]
    C --> D[Regex & Entropy Analysis]
    D --> E[Git History Scan]
    
    B -->|Cloud| F[AWS API Calls]
    F --> G[Resource Enumeration]
    G --> H[Security Rule Check]
    
    B -->|IaC| I[Parse Infrastructure Code]
    I --> J[Checkov Policy Scan]
    
    B -->|IAM| K[Fetch IAM Policies]
    K --> L[Neo4j Graph Building]
    L --> M[Privilege Path Analysis]
    
    E --> N[Generate Report]
    H --> N
    J --> N
    M --> N
    
    N --> O((End))
    
    style A fill:#4F46E5,stroke:#333,stroke-width:2px,color:#fff
    style N fill:#10B981,stroke:#333,stroke-width:2px,color:#fff
    style O fill:#EF4444,stroke:#333,stroke-width:2px,color:#fff

🚀 安装

前置条件

Python 3.9+
Docker 与 Docker Compose（用于持久化存储）
已配置的 AWS CLI（用于云扫描）

快速安装

# 1. Clone the repository
git clone https://github.com/Masriyan/FuFuFaFa.git
cd FuFuFaFa

# 2. Set up virtual environment
python -m venv .venv
source .venv/bin/activate  # On Windows: .venv\Scripts\activate

# 3. Install dependencies
pip install -e ".[dev]"

# 4. Start database services
docker-compose up -d postgres redis neo4j

# 5. Initialize database
fufufafa init-db

⚡ 快速开始

几秒钟即可启动并运行！

# 1. Verify installation
fufufafa --version

# 2. Run a secret scan on a local repo
fufufafa secret scan ./your-project

# 3. Scan your default AWS profile
fufufafa cloud scan

# 4. View help for more commands
fufufafa --help

📖 使用指南

🕵️ 密钥扫描

在代码中查找隐藏的密钥，即使它们深藏在 git 历史记录中。

fufufafa secret scan ./target-repo --history

选项：

--history：扫描完整的 git 历史记录
--entropy 4.5：设置自定义熵阈值
--json：以 JSON 格式输出结果

☁️ 云审计

审计你的 AWS 环境，查找安全漏洞。

fufufafa cloud scan --profile production --regions us-east-1,us-west-2

选项：

--profile：指定 AWS CLI 配置文件
--services s3,ec2,iam：上下文扫描
--fix：尝试自动修复（请谨慎使用！）

🏗️ IaC 安全

通过扫描你的基础设施代码实现左移。

fufufafa iac scan ./terraform-files

🕸️ IAM 分析

可视化权限路径并发现危险角色。

fufufafa iam analyze --graph

注意：需要 Neo4j 服务正在运行。

🏗️ 架构

FuFuFaFa 框架以模块化和可扩展性为设计目标构建。

C4Context
    title System Context Diagram for FuFuFaFa

    Person(user, "Security Auditor", "Uses FuFuFaFa to audit cloud security.")
    System(fufufafa, "FuFuFaFa Framework", "CLI tool for scanning secrets, cloud config, IaC, and IAM.")
    
    System_Ext(aws, "AWS Cloud", "Target environment for auditing.")
    System_Ext(neo4j, "Neo4j Database", "Stores IAM graph relationships.")
    System_Ext(postgres, "PostgreSQL", "Stores finding results and reports.")
    
    Rel(user, fufufafa, "Runs CLI commands")
    Rel(fufufafa, aws, "Reads configuration via API")
    Rel(fufufafa, neo4j, "Queries/Updates Graph")
    Rel(fufufafa, postgres, "Persists Audit Data")

🤝 社区与支持

我们欢迎贡献！详情请参阅我们的贡献指南。

发现了 bug？ 请提交 Issue
有安全方面的疑虑？ 请参阅 SECURITY.md
行为准则？ 请参阅 CODE_OF_CONDUCT.md

由 FuFuFaFa 团队用 ❤️ 和 ☕ 打造

最受欢迎

FuFuFaFa