Repolode
Enviar
gebalamariusz

gebalamariusz/cloud-audit

Scanner de segurança AWS somente leitura com 110 verificações, análise de escalonamento de privilégios no IAM, cadeias de ataque e relatório do raio de impacto de agentes de IA, com uma correção via AWS CLI e Terraform para cada achado.

Alternativa open source a:ProwlerAWS Security Hub

Ver no GitHub
Estrelas
74
Forks
12
Issues abertas
11
Último commit
há 24 dias

O que é?

cloud-audit é um scanner de linha de comando em Python para contas AWS. Ele executa 110 verificações de configuração em 25 serviços, incluindo IAM, S3, EC2, KMS, CloudTrail, Lambda e Bedrock, e apresenta os achados junto com uma pontuação de integridade. Também procura métodos de escalonamento de privilégios no IAM, correlaciona achados em cadeias de ataque e classifica as correções que interrompem mais cadeias.

Um comando separado, agent-blast, inventaria recursos do Bedrock Agents e do AgentCore e determina a quais recursos as identidades IAM de um agente poderiam ter acesso caso ele fosse sequestrado. Com a opção --verify, solicita ao simulador de políticas do IAM que confirme cada permissão acessível. Comandos offline, como simulate, blast-radius e exposure, funcionam com um relatório JSON salvo, sem fazer novas chamadas à AWS.

A ferramenta é somente leitura e não altera recursos na conta. Ela gera tabelas no console e arquivos JSON, HTML, SARIF e Markdown, além de incluir um servidor MCP com ferramentas somente leitura para assistentes de IA.

Recursos principais

  • 01Executa 110 verificações de configuração somente leitura em 25 serviços da AWS, cada uma com uma correção via AWS CLI e Terraform.
  • 02Detecta 64 métodos de escalonamento de privilégios no IAM e caminhos laterais de AssumeRole.
  • 03Correlaciona achados em 31 regras de cadeias de ataque e classifica as correções pelo número de cadeias interrompidas.
  • 04Mapeia o alcance de agentes de IA do Bedrock Agents e do AgentCore em dois modelos de ameaça.
  • 05Verifica caminhos de escalonamento e permissões de agentes com o simulador de políticas do IAM usando --verify.
  • 06Exporta os resultados para console, JSON, HTML, SARIF ou Markdown e funciona em CI/CD.

Casos de uso

  • Auditar uma conta AWS em busca de configurações incorretas no IAM e caminhos de escalonamento de privilégios antes ou depois da implantação.
  • Verificar a quais recursos um agente do Bedrock ou do AgentCore poderia ter acesso caso suas credenciais ou seus prompts fossem comprometidos.
  • Executar varreduras agendadas no GitHub Actions e enviar os resultados SARIF para o Code Scanning.
  • Comparar resultados de varreduras ao longo do tempo para detectar desvios de configuração.

Início rápido

  1. 1

    Instale pelo PyPI

    pip install cloud-audit
  2. 2

    Experimente a demonstração offline sem uma conta da AWS

    cloud-audit demo --save demo.json
  3. 3

    Execute uma verificação somente leitura da sua conta da AWS com o perfil e a região padrão

    cloud-audit scan

Antes de usar

  • Verifica apenas contas da AWS, não de outros provedores de nuvem.
  • O modo de prova --verify e o agent-blast precisam de credenciais da AWS com acesso ao simulador do IAM.

Em coleções

Agentes pessoais de IA open source

Tópicos

#aws#cloud-security#iam#security-scanner#compliance#infrastructure-security#personal-agent#audit#aws-audit#aws-security

Perguntas frequentes

O que é cloud-audit?
Scanner de segurança AWS somente leitura com 110 verificações, análise de escalonamento de privilégios no IAM, cadeias de ataque e relatório do raio de impacto de agentes de IA, com uma correção via AWS CLI e Terraform para cada achado. cloud-audit é um scanner de linha de comando em Python para contas AWS. Ele executa 110 verificações de configuração em 25 serviços, incluindo IAM, S3, EC2, KMS, CloudTrail, Lambda e Bedrock, e apresenta os achados junto com uma pontuação de integridade. Também procura métodos de escalonamento de privilégios no IAM, correlaciona achados em cadeias de ataque e classifica as correções que interrompem mais cadeias.
cloud-audit é gratuito? Qual é a licença?
cloud-audit é open source sob a licença MIT. Confira os termos da licença antes de usá-lo em produtos comerciais.
cloud-audit ainda é mantido?
Manutenção ativa. O último commit de cloud-audit foi em 14 de out. de 2026.
Para que posso usar cloud-audit?
Auditar uma conta AWS em busca de configurações incorretas no IAM e caminhos de escalonamento de privilégios antes ou depois da implantação. Verificar a quais recursos um agente do Bedrock ou do AgentCore poderia ter acesso caso suas credenciais ou seus prompts fossem comprometidos. Executar varreduras agendadas no GitHub Actions e enviar os resultados SARIF para o Code Scanning. Comparar resultados de varreduras ao longo do tempo para detectar desvios de configuração.
Como instalar cloud-audit?
Instale pelo PyPI: pip install cloud-audit Experimente a demonstração offline sem uma conta da AWS: cloud-audit demo --save demo.json Execute uma verificação somente leitura da sua conta da AWS com o perfil e a região padrão: cloud-audit scan
Onde consigo cloud-audit?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/gebalamariusz/cloud-audit

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados