Realizando Enumeração de Contas AWS com ScoutSuite

Visão Geral

ScoutSuite é uma ferramenta de auditoria de segurança multi-nuvem de código aberto desenvolvida pela NCC Group que permite a avaliação abrangente da postura de segurança de ambientes AWS. Ela consulta APIs da AWS para coletar dados de configuração em todos os serviços, armazena os resultados localmente e gera relatórios HTML interativos destacando áreas de alto risco. ScoutSuite é sem agente e funciona analisando como os recursos da nuvem são configurados, acessados e monitorados.

Quando Usar

• Ao realizar avaliações de segurança que envolvem a enumeração de contas AWS com ScoutSuite.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar atividades agendadas de testes ou auditoria de segurança.
• Ao validar controles de segurança através de testes práticos.

Pré-requisitos

• Python 3.6+ instalado.
• AWS CLI configurado com credenciais IAM apropriadas.
• Permissões IAM de somente leitura em todos os serviços AWS alvo (política gerenciada SecurityAudit recomendada).
• Gerenciador de pacotes pip para instalação do ScoutSuite.
• Acesso à rede aos endpoints da API AWS.

Instalação e Configuração

Instalar ScoutSuite

pip install scoutsuite

Verificar instalação

scout --version

Configurar credenciais AWS

aws configure
# Or use environment variables:
export AWS_ACCESS_KEY_ID=<your-key>
export AWS_SECRET_ACCESS_KEY=<your-secret>
export AWS_DEFAULT_REGION=us-east-1

Política IAM Necessária

Anexe as políticas gerenciadas da AWS SecurityAudit e ViewOnlyAccess ao usuário ou função IAM que executa o ScoutSuite. Para varreduras abrangentes, uma política personalizada pode ser necessária:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "acm:Describe*",
        "acm:List*",
        "cloudformation:Describe*",
        "cloudformation:Get*",
        "cloudformation:List*",
        "cloudtrail:Describe*",
        "cloudtrail:Get*",
        "cloudtrail:List*",
        "cloudwatch:Describe*",
        "cloudwatch:Get*",
        "cloudwatch:List*",
        "config:Describe*",
        "config:Get*",
        "config:List*",
        "dynamodb:Describe*",
        "dynamodb:List*",
        "ec2:Describe*",
        "ec2:Get*",
        "elasticloadbalancing:Describe*",
        "iam:Generate*",
        "iam:Get*",
        "iam:List*",
        "iam:Simulate*",
        "kms:Describe*",
        "kms:Get*",
        "kms:List*",
        "lambda:Get*",
        "lambda:List*",
        "logs:Describe*",
        "logs:Get*",
        "rds:Describe*",
        "rds:List*",
        "redshift:Describe*",
        "route53:Get*",
        "route53:List*",
        "s3:Get*",
        "s3:List*",
        "ses:Get*",
        "ses:List*",
        "sns:Get*",
        "sns:List*",
        "sqs:Get*",
        "sqs:List*",
        "ssm:Describe*",
        "ssm:Get*",
        "ssm:List*"
      ],
      "Resource": "*"
    }
  ]
}

Executando ScoutSuite

Varredura completa da AWS

scout aws

Escanear apenas serviços específicos

scout aws --services s3 iam ec2 rds

Escanear regiões específicas

scout aws --regions us-east-1 us-west-2 eu-west-1

Usar uma função assumida para varredura entre contas

scout aws --profile target-account-profile

Excluir serviços específicos da varredura

scout aws --skip iam ec2

Especificar diretório de saída

scout aws --report-dir /tmp/scoutsuite-reports/

Análise de Relatório

ScoutSuite gera um relatório HTML interativo armazenado localmente. O relatório inclui:

1. Painel: Visão geral das descobertas por severidade (perigo, aviso, bom).
2. Descobertas por nível de serviço: Agrupadas por serviço AWS (IAM, S3, EC2, RDS, etc.).
3. Verificações baseadas em regras: Cada descoberta é mapeada para uma regra de melhores práticas de segurança.
4. Inventário de recursos: Listagem completa dos recursos enumerados.

Principais áreas para revisar no relatório

Interpretando Descobertas

Níveis de Severidade

…