AWS 雲端安全掃描與稽核工具實戰指南

# 從 GitHub 複製 Cloud Reports 專案儲存庫
# 此命令會在當前目錄建立 cloud-reports 資料夾
git clone https://github.com/CloudReports/cloud-reports.git

# 切換至專案目錄
cd cloud-reports

# 安裝專案所需的所有 Node.js 相依套件
# 此過程可能需要數分鐘，視網路狀況而定
npm install

# AWS 憑證配置檔案位置：~/.aws/credentials
# 此檔案儲存 AWS 存取金鑰，請妥善保管

[default]
# AWS 存取金鑰 ID，用於識別 API 請求的發送者
aws_access_key_id = AKIAIOSFODNN7EXAMPLE

# AWS 秘密存取金鑰，用於簽署 API 請求
# 請勿將此金鑰分享給他人或提交至版本控制系統
aws_secret_access_key = wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

# 可選：指定預設區域
# region = ap-northeast-1

# 執行基本掃描，使用預設配置檔案
# 掃描結果將以 PDF 格式輸出
npm run scan -- --profile default

# 進階掃描選項：指定服務、區域與輸出格式
# -m s3：僅掃描 S3 服務
# -r ap-northeast-1：指定掃描東京區域
# -f html：輸出 HTML 格式報告
# -d：啟用除錯模式，顯示詳細執行資訊
# -u：重複使用先前的掃描資料，加速處理
npm run scan -- --profile default -m s3 -r ap-northeast-1 -d -u -f html

# 掃描多個服務
# 可同時掃描 S3、EC2、IAM 等服務
npm run scan -- --profile default -m s3,ec2,iam -f html

# 安裝 AWS CLI 與相關工具
# awscli：AWS 命令列介面，用於與 AWS 服務互動
# detect-secrets：用於檢測程式碼中的敏感資訊
pip install awscli detect-secrets

# 在 Debian/Ubuntu 系統上安裝 pip
# 如果系統尚未安裝 pip，請先執行此命令
apt install python3-pip

# 安裝 jq 工具，用於處理 JSON 格式的輸出
# jq 能夠格式化與篩選 JSON 資料
apt install jq

# 從 GitHub 複製 Prowler 專案儲存庫
git clone https://github.com/prowler-cloud/prowler
cd prowler

# 安裝 Prowler 相依套件
pip install -r requirements.txt

# 透過環境變數配置 AWS 憑證
# 這種方式適合臨時性的稽核作業

# AWS 存取金鑰 ID
export AWS_ACCESS_KEY_ID="AKIAIOSFODNN7EXAMPLE"

# AWS 秘密存取金鑰
export AWS_SECRET_ACCESS_KEY="wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY"

# 如果使用臨時憑證，需要設定 Session Token
export AWS_SESSION_TOKEN="FwoGZXIvYXdzEBYaDH..."

# 指定預設區域
export AWS_DEFAULT_REGION="ap-northeast-1"

# 執行完整的 CIS Benchmark 稽核
# 此命令會檢查所有 CIS AWS Foundations Benchmark 項目
./prowler

# 僅執行特定類別的檢查
# -g cis_level1：僅檢查 CIS Level 1 項目
./prowler -g cis_level1

# 指定輸出格式與檔案
# -M html：輸出 HTML 格式報告
# -o output：指定輸出目錄
./prowler -M html -o output

# 檢查特定區域
# -r ap-northeast-1：僅檢查東京區域
./prowler -r ap-northeast-1

# 執行特定的檢查項目
# -c check11：僅執行編號為 check11 的檢查
./prowler -c check11

# Prowler 輸出範例

# 通過的檢查項目會以綠色顯示
# 2.1 [check21] Ensure CloudTrail is enabled in all regions (Scored)
# PASS! CloudTrail is enabled in all regions

# 失敗的檢查項目會以紅色顯示並提供修復指引
# 2.3 [check23] Ensure the S3 bucket CloudTrail logs to is not publicly accessible (Scored)
# FAIL! CloudTrail S3 bucket 'my-cloudtrail-bucket' allows public access

# 警告項目會以黃色顯示
# 1.4 [check14] Ensure access keys are rotated every 90 days or less (Scored)
# WARNING! Access key for user 'admin' is 120 days old

# 從 GitHub 複製 S3 Inspector 專案
git clone https://github.com/clario-tech/s3-inspector.git

# 切換至專案目錄
cd s3-inspector

# 執行 S3 Inspector
# 首次執行時會提示輸入 AWS 配置檔案名稱
python s3inspector.py

# S3 Inspector 輸出範例

# 私有儲存桶（安全）
# — — — — — — — — — — — — — — — — — —
# Bucket my-private-bucket: Not public
# Location: ap-northeast-1
# — — — — — — — — — — — — — — — — — —

# 公開儲存桶（存在風險）
# — — — — — — — — — — — — — — — — — —
# Bucket my-public-bucket: PUBLIC!
# Location: ap-northeast-1
# Permission: readable by Everyone
# URLs:
# https://my-public-bucket.s3.amazonaws.com
# http://my-public-bucket.s3.ap-northeast-1.amazonaws.com
# — — — — — — — — — — — — — — — — — —

# 匯入 AWS SDK for Python
import boto3

# 建立 S3 客戶端
# 客戶端會使用預設的憑證配置
s3 = boto3.client('s3')

def check_bucket_acl(bucket_name):
    """
    檢查指定 S3 儲存桶的存取控制清單
    判斷是否允許公開存取

    參數：
        bucket_name: 要檢查的儲存桶名稱

    回傳：
        True 表示儲存桶允許公開存取
        False 表示儲存桶為私有
    """
    try:
        # 取得儲存桶的存取控制清單
        acl = s3.get_bucket_acl(Bucket=bucket_name)

        # 檢查每個授權項目
        for grant in acl['Grants']:
            # 檢查是否為群組類型的授權
            if grant['Grantee']['Type'] == 'Group':
                # 檢查是否授權給所有使用者（AllUsers）
                # 此 URI 代表任何人都可以存取
                if grant['Grantee']['URI'] == 'http://acs.amazonaws.com/groups/global/AllUsers':
                    return True

                # 檢查是否授權給已驗證使用者（AuthenticatedUsers）
                # 此設定也被視為不安全，因為任何 AWS 帳戶都可以存取
                if grant['Grantee']['URI'] == 'http://acs.amazonaws.com/groups/global/AuthenticatedUsers':
                    return True

    except Exception as e:
        # 記錄錯誤但不中斷程式執行
        print(f"檢查儲存桶 {bucket_name} 的 ACL 時發生錯誤：{e}")

    return False

def check_bucket_policy(bucket_name):
    """
    檢查儲存桶政策是否允許公開存取

    參數：
        bucket_name: 要檢查的儲存桶名稱

    回傳：
        True 表示政策允許公開存取
        False 表示政策不允許公開存取或無政策
    """
    try:
        # 取得儲存桶政策
        policy = s3.get_bucket_policy(Bucket=bucket_name)
        policy_text = policy['Policy']

        # 檢查政策中是否包含允許所有人存取的設定
        # Principal 為 "*" 且 Effect 為 "Allow" 表示公開存取
        if '"Principal":"*"' in policy_text or '"Principal": "*"' in policy_text:
            if '"Effect":"Allow"' in policy_text or '"Effect": "Allow"' in policy_text:
                return True

    except s3.exceptions.from_code('NoSuchBucketPolicy'):
        # 儲存桶沒有政策，視為安全
        pass
    except Exception as e:
        print(f"檢查儲存桶 {bucket_name} 的政策時發生錯誤：{e}")

    return False

def scan_all_buckets():
    """
    掃描帳戶中所有 S3 儲存桶的安全性
    """
    # 列舉所有儲存桶
    response = s3.list_buckets()
    buckets = response['Buckets']

    print(f"找到 {len(buckets)} 個儲存桶，開始掃描...\n")

    public_buckets = []

    for bucket in buckets:
        bucket_name = bucket['Name']

        # 檢查 ACL 與政策
        acl_public = check_bucket_acl(bucket_name)
        policy_public = check_bucket_policy(bucket_name)

        if acl_public or policy_public:
            public_buckets.append(bucket_name)
            print(f"[警告] 儲存桶 {bucket_name} 允許公開存取！")

            # 取得儲存桶位置以建構 URL
            try:
                location = s3.get_bucket_location(Bucket=bucket_name)
                region = location['LocationConstraint'] or 'us-east-1'
                print(f"  區域：{region}")
                print(f"  URL：https://{bucket_name}.s3.{region}.amazonaws.com")
            except Exception as e:
                print(f"  無法取得位置資訊：{e}")

            print()
        else:
            print(f"[安全] 儲存桶 {bucket_name} 為私有")

    # 輸出摘要
    print(f"\n掃描完成！")
    print(f"總共 {len(buckets)} 個儲存桶")
    print(f"公開儲存桶：{len(public_buckets)} 個")

    if public_buckets:
        print("\n需要檢視的公開儲存桶：")
        for name in public_buckets:
            print(f"  - {name}")

# 執行掃描
if __name__ == "__main__":
    scan_all_buckets()

# GitHub Actions 工作流程配置
# 檔案位置：.github/workflows/security-audit.yml

name: AWS Security Audit

# 觸發條件：推送至主分支或建立 Pull Request
on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]
  # 排程執行：每週一早上 9 點（UTC）
  schedule:
    - cron: '0 9 * * 1'

jobs:
  prowler-audit:
    name: Prowler Security Audit
    runs-on: ubuntu-latest

    steps:
      # 複製專案程式碼
      - name: Checkout code
        uses: actions/checkout@v3

      # 配置 AWS 憑證
      # 使用 GitHub Secrets 儲存敏感資訊
      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@v2
        with:
          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          aws-region: ap-northeast-1

      # 安裝 Prowler
      - name: Install Prowler
        run: |
          pip install prowler

      # 執行安全稽核
      - name: Run Prowler audit
        run: |
          prowler -M html -o prowler-output

      # 上傳稽核報告
      - name: Upload audit report
        uses: actions/upload-artifact@v3
        with:
          name: prowler-report
          path: prowler-output/

      # 檢查是否有嚴重問題
      # 如果有失敗項目則中止 Pipeline
      - name: Check for critical findings
        run: |
          if grep -q "FAIL" prowler-output/*.html; then
            echo "發現安全問題，請檢視報告"
            exit 1
          fi