gebalamariusz/cloud-audit

これは何？

主な機能

• 0125のAWSサービスを対象に、AWS CLIとTerraformでの修正方法を各項目に提示する、読み取り専用の設定チェックを110項目実行します。
• 0264種類のIAM権限昇格手法と、横方向のAssumeRole経路を検出します。
• 03検出結果を31種類の攻撃チェーンルールに基づいて関連付け、断ち切れるチェーンの数で修正を順位付けします。
• 042種類の脅威モデルに基づき、Bedrock AgentsとAgentCoreのAIエージェントが到達できる範囲をマッピングします。
• 05--verifyを使い、IAMポリシーシミュレーターで権限昇格経路とエージェントの権限を検証します。
• 06結果をコンソール、JSON、HTML、SARIF、Markdown形式でエクスポートでき、CI/CDでも実行できます。

ユースケース

• デプロイ前またはデプロイ後に、AWSアカウントのIAM設定ミスや権限昇格経路を監査する。
• BedrockまたはAgentCoreのエージェントで、認証情報やプロンプトが侵害された場合にアクセスされうる範囲を確認する。
• GitHub Actionsで定期スキャンを実行し、SARIF結果をCode Scanningにアップロードする。
• スキャン結果を時系列で比較して、設定ドリフトを検出する。

クイックスタート

1. 1

   PyPIからインストール

   pip install cloud-audit
2. 2

   AWSアカウントなしでオフラインデモを試す

   cloud-audit demo --save demo.json
3. 3

   デフォルトのプロファイルとリージョンを使って、AWSアカウントを読み取り専用でスキャン

   cloud-audit scan

使う前に知っておきたいこと

• !スキャンできるのはAWSアカウントのみで、他のクラウドプロバイダーには対応していません。
• !--verify proof modeとagent-blastを使うには、IAMシミュレーターにアクセスできるAWS認証情報が必要です。

収録されている特集

トピック

よくある質問

cloud-audit とは？

AWS CLIとTerraformでの修正方法を各検出結果に提示する、110項目のチェック、IAM権限昇格分析、攻撃チェーン、AIエージェントの影響範囲レポートに対応した読み取り専用AWSセキュリティスキャナー。 cloud-auditは、AWSアカウント向けのPython製コマンドラインスキャナーです。IAM、S3、EC2、KMS、CloudTrail、Lambda、Bedrockなど25サービスを対象に110項目の設定チェックを実行し、ヘルススコアとともに検出結果を報告します。また、IAMの権限昇格手法を探し、検出結果を攻撃チェーンとして関連付け、どの修正が最も多くのチェーンを断ち切れるかを順位付けします。

cloud-audit は無料で使えますか？ライセンスは？

cloud-audit は MIT ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

cloud-audit は今もメンテナンスされていますか？

活発にメンテナンス中。cloud-audit の最終コミットは 2026年10月14日 です。

cloud-audit は何に使えますか？

デプロイ前またはデプロイ後に、AWSアカウントのIAM設定ミスや権限昇格経路を監査する。 BedrockまたはAgentCoreのエージェントで、認証情報やプロンプトが侵害された場合にアクセスされうる範囲を確認する。 GitHub Actionsで定期スキャンを実行し、SARIF結果をCode Scanningにアップロードする。 スキャン結果を時系列で比較して、設定ドリフトを検出する。

cloud-audit のインストール方法は？

PyPIからインストール: pip install cloud-audit AWSアカウントなしでオフラインデモを試す: cloud-audit demo --save demo.json デフォルトのプロファイルとリージョンを使って、AWSアカウントを読み取り専用でスキャン: cloud-audit scan

cloud-audit はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/gebalamariusz/cloud-audit