Repolode
Enviar
gebalamariusz

gebalamariusz/cloud-audit

Scanner de seguridad de AWS de solo lectura con 110 comprobaciones, análisis de escalada de privilegios de IAM, cadenas de ataque e informes del alcance de impacto de agentes de IA; cada hallazgo incluye una solución con AWS CLI y Terraform.

Alternativa open source a:ProwlerAWS Security Hub

Ver en GitHub
Estrellas
74
Forks
12
Issues abiertos
11
Último commit
hace 23 días

¿Qué es?

cloud-audit es un scanner de línea de comandos escrito en Python para cuentas de AWS. Ejecuta 110 comprobaciones de configuración en 25 servicios, incluidos IAM, S3, EC2, KMS, CloudTrail, Lambda y Bedrock, y presenta los hallazgos junto con una puntuación de estado. También busca métodos de escalada de privilegios de IAM, relaciona los hallazgos en cadenas de ataque y clasifica las soluciones según cuántas cadenas interrumpen.

Un comando independiente, agent-blast, inventaría los recursos de Bedrock Agents y AgentCore y determina a qué podrían acceder las identidades de IAM de un agente si este fuera secuestrado. Con la opción --verify, consulta el simulador de políticas de IAM para confirmar cada permiso al que se podría acceder. Los comandos sin conexión, como simulate, blast-radius y exposure, funcionan con un informe JSON guardado, sin realizar más llamadas a AWS.

La herramienta es de solo lectura y no modifica los recursos de la cuenta. Genera resultados en tablas de consola y en formato JSON, HTML, SARIF y Markdown, e incluye un servidor MCP con herramientas de solo lectura para asistentes de IA.

Funciones clave

  • 01Ejecuta 110 comprobaciones de configuración de solo lectura en 25 servicios de AWS; cada una incluye una solución con AWS CLI y Terraform.
  • 02Detecta 64 métodos de escalada de privilegios de IAM y rutas laterales de AssumeRole.
  • 03Relaciona los hallazgos mediante 31 reglas de cadenas de ataque y clasifica las soluciones según las cadenas que interrumpen.
  • 04Determina el alcance de acceso de agentes de IA de Bedrock Agents y AgentCore con dos modelos de amenazas.
  • 05Verifica las rutas de escalada y los permisos de los agentes con el simulador de políticas de IAM mediante --verify.
  • 06Exporta los resultados a la consola o en formato JSON, HTML, SARIF o Markdown, y se ejecuta en CI/CD.

Casos de uso

  • Auditar una cuenta de AWS para encontrar errores de configuración de IAM y rutas de escalada de privilegios antes o después del despliegue.
  • Comprobar a qué podría acceder un agente de Bedrock o AgentCore si sus credenciales o prompts se vieran comprometidos.
  • Ejecutar análisis programados en GitHub Actions y subir los resultados SARIF a Code Scanning.
  • Comparar los resultados de los análisis a lo largo del tiempo para detectar desviaciones en la configuración.

Inicio rápido

  1. 1

    Instala desde PyPI

    pip install cloud-audit
  2. 2

    Prueba la demo sin conexión y sin una cuenta de AWS

    cloud-audit demo --save demo.json
  3. 3

    Ejecuta un escaneo de solo lectura de tu cuenta de AWS con el perfil y la región predeterminados

    cloud-audit scan

Antes de usarlo

  • Solo escanea cuentas de AWS; no es compatible con otros proveedores de nube.
  • El modo de prueba --verify y agent-blast requieren credenciales de AWS con acceso al simulador de IAM.

En colecciones

Agentes personales de IA open source

Temas

#aws#cloud-security#iam#security-scanner#compliance#infrastructure-security#personal-agent#audit#aws-audit#aws-security

Preguntas frecuentes

¿Qué es cloud-audit?
Scanner de seguridad de AWS de solo lectura con 110 comprobaciones, análisis de escalada de privilegios de IAM, cadenas de ataque e informes del alcance de impacto de agentes de IA; cada hallazgo incluye una solución con AWS CLI y Terraform. cloud-audit es un scanner de línea de comandos escrito en Python para cuentas de AWS. Ejecuta 110 comprobaciones de configuración en 25 servicios, incluidos IAM, S3, EC2, KMS, CloudTrail, Lambda y Bedrock, y presenta los hallazgos junto con una puntuación de estado. También busca métodos de escalada de privilegios de IAM, relaciona los hallazgos en cadenas de ataque y clasifica las soluciones según cuántas cadenas interrumpen.
¿cloud-audit es gratuito? ¿Qué licencia tiene?
cloud-audit es open source bajo la licencia MIT. Revisa los términos de la licencia antes de usarlo en productos comerciales.
¿cloud-audit sigue mantenido?
Mantenimiento activo. El último commit de cloud-audit fue el 14 oct 2026.
¿Para qué puedo usar cloud-audit?
Auditar una cuenta de AWS para encontrar errores de configuración de IAM y rutas de escalada de privilegios antes o después del despliegue. Comprobar a qué podría acceder un agente de Bedrock o AgentCore si sus credenciales o prompts se vieran comprometidos. Ejecutar análisis programados en GitHub Actions y subir los resultados SARIF a Code Scanning. Comparar los resultados de los análisis a lo largo del tiempo para detectar desviaciones en la configuración.
¿Cómo se instala cloud-audit?
Instala desde PyPI: pip install cloud-audit Prueba la demo sin conexión y sin una cuenta de AWS: cloud-audit demo --save demo.json Ejecuta un escaneo de solo lectura de tu cuenta de AWS con el perfil y la región predeterminados: cloud-audit scan
¿Dónde consigo cloud-audit?
El código fuente y las instrucciones de instalación están en GitHub: https://github.com/gebalamariusz/cloud-audit

Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.

Proyectos relacionados