Realizando Inventário de Ativos na Nuvem com Cartography

Visão Geral

Cartography é um projeto sandbox da CNCF (originalmente criado na Lyft) que consolida ativos de infraestrutura e seus relacionamentos em um banco de dados gráfico Neo4j. Ele consulta APIs de nuvem para descobrir recursos, mapeia relacionamentos entre eles e permite que equipes de segurança identifiquem caminhos de ataque, gerem relatórios de ativos e encontrem áreas para melhoria de segurança. O modelo gráfico revela conexões ocultas, como cadeias de permissões IAM, caminhos de rede e relacionamentos de confiança entre contas.

Quando Usar

• Ao realizar avaliações de segurança que envolvem o inventário de ativos na nuvem com Cartography
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Python 3.8+
• Banco de dados Neo4j 4.x ou 5.x
• Credenciais do provedor de nuvem (AWS, GCP, Azure)
• Docker (opcional, para implantação do Neo4j)
• Mínimo de 4GB de RAM para Neo4j, mais para ambientes grandes

Instalação

# Install Cartography
pip install cartography

# Verify installation
cartography --help

Implantar Neo4j com Docker

docker run -d \
  --name neo4j \
  -p 7474:7474 -p 7687:7687 \
  -e NEO4J_AUTH=neo4j/changethispassword \
  -e NEO4J_PLUGINS='["apoc"]' \
  -v neo4j_data:/data \
  neo4j:5-community

Executando Cartography

Sincronização Básica da AWS

# Sync AWS account data to Neo4j
cartography \
  --neo4j-uri bolt://localhost:7687 \
  --neo4j-user neo4j \
  --neo4j-password-env-var NEO4J_PASSWORD

Sincronizar módulos específicos da AWS

cartography \
  --neo4j-uri bolt://localhost:7687 \
  --neo4j-user neo4j \
  --neo4j-password-env-var NEO4J_PASSWORD \
  --aws-sync-all-profiles

Sincronização do GCP

cartography \
  --neo4j-uri bolt://localhost:7687 \
  --neo4j-user neo4j \
  --neo4j-password-env-var NEO4J_PASSWORD \
  --gcp-requested-syncs compute iam storage

Consultas Cypher Focadas em Segurança

Encontrar todos os buckets S3 com acesso público

MATCH (b:S3Bucket)
WHERE b.anonymous_access = true
   OR b.anonymous_actions IS NOT NULL
RETURN b.name, b.anonymous_actions, b.region, b.arn
ORDER BY b.name

Identificar usuários IAM com políticas de administrador

MATCH (user:AWSUser)-[:POLICY]->(policy:AWSPolicy)
WHERE policy.name = 'AdministratorAccess'
   OR policy.arn CONTAINS 'AdministratorAccess'
RETURN user.name, user.arn, policy.name, user.password_last_used

Encontrar instâncias EC2 expostas à internet

MATCH (instance:EC2Instance)-[:MEMBER_OF_EC2_SECURITY_GROUP]->(sg:EC2SecurityGroup)
      -[:MEMBER_OF_EC2_SECURITY_GROUP_RULE]->(rule:IpRule)
WHERE rule.fromport <= 22 AND rule.toport >= 22
  AND rule.protocol IN ['tcp', '-1']
  AND '0.0.0.0/0' IN rule.ipranges
RETURN instance.instanceid, instance.publicipaddress, sg.groupid, sg.name

Descobrir relacionamentos de confiança entre contas

MATCH (role:AWSRole)-[:TRUSTS_AWS_PRINCIPAL]->(principal:AWSPrincipal)
WHERE principal.arn CONTAINS ':root'
  AND NOT principal.arn CONTAINS role.accountid
RETURN role.arn, role.name, principal.arn AS trusted_account
ORDER BY role.name

Encontrar caminho de ataque de EC2 pública para S3 sensível

MATCH path = (instance:EC2Instance)-[:STS_ASSUME_ROLE_ALLOWS|MEMBER_OF_EC2_SECURITY_GROUP|
  POLICY|INSTANCE_PROFILE*1..5]->(bucket:S3Bucket)
WHERE instance.publicipaddress IS NOT NULL
  AND bucket.name CONTAINS 'sensitive'
RETURN path
LIMIT 25

Identificar funções IAM não utilizadas

MATCH (role:AWSRole)
WHERE role.last_used IS NULL
   OR role.last_used < datetime().epochMillis - (90 * 24 * 60 * 60 * 1000)
RETURN role.name, role.arn, role.last_used
ORDER BY role.last_used

Encontrar funções Lambda com funções privilegiadas demais

MATCH (func:AWSLambda)-[:STS_ASSUME_ROLE_ALLOWS]->(role:AWSRole)-[:POLICY]->(policy:AWSPolicy)
WHERE policy.name = 'AdministratorAccess'
RETURN func.name, func.arn, role.name, policy.name

Análise de caminho de rede

MATCH (vpc:AWSVpc)-[:RESOURCE]->(subnet:EC2Subnet)-[:MEMBER_OF_SUBNET]->(instance:EC2Instance)
WHERE instance.publicipaddress IS NOT NULL
RETURN vpc.id, subnet.subnetid, subnet.cidr_block, instance.instanceid,
       instance.publicipaddress, instance.state

Agendando Sincronizações Regulares

Sincronização baseada em Cron

# Adicionar ao crontab - sincronizar a cada 6 horas
0 */6 * * * /usr/local/bin/cartography \

…