关于CloudConsoleCartographer

CloudConsoleCartographer是一款针对云环境安全的事件分析与管理工具，该工具能够对云事件（例如CloudTrail日志）进行分组，并将其映射到管理控制台 UI 中的原始用户输入操作，以简化分析和解释。

这对防御者来说非常有益，因为管理控制台会话中的大量输入操作可以生成数十甚至数百个事件，而这些事件源自最终用户的一次交互式点击。

CloudConsoleCartographer为防御者提供的另一项功能是解析与每个映射相关的所有事件的相关数据。例如，当用户在 AWS 管理控制台中单击 IAM->Users 并生成 100 多个事件时，此框架将解析这些日志并提取生成日志时处于活动状态的所有 IAM 用户和长期访问密钥。这可以实现环境的时间点上下文，并提高用户在活动时在 UI 中看到的内容的可见性。

使用场景

例如，但用户点击IAM->Users时，会生成如下内容：

此时我们就可以使用CloudConsoleCartographer对其进行分析了：

工具要求

PowerShell

Python 3

pwsh 6+

工具安装

广大研究人员可以直接使用下列命令将该项目源码克隆至本地：

git clone https://github.com/Permiso-io-tools/CloudConsoleCartographer.git

然后切换到项目目录中，执行下列命令完成工具模块的安装：

cd CloudConsoleCartographer

Import-Module ./CloudConsoleCartographer.psd1

然后安装UI相关的依赖组件：

python3 -m pip install -r ./UI/Code/requirements.txt

工具使用

此工具提供 CLI（命令行界面），用于处理云日志并在命令行上简单显示结果。使用 Python UI Visualizer 可以更好地进行更具交互性的分析。

示例 1 - 使用本地 CloudTrail 日志和事件级 CLI 摘要运行该工具

使用存储在 ./Demo 中的演示 CloudTrail 会话可以快速查看框架聚合和增强可解释性的强大功能，但后面的示例将显示日志可以通过管道传输到该框架的功能中，而无需将任何内容写入磁盘：

dir ./Demo/InputEvents.json | Add-Signal -Verbose | Show-EventSummary -Detail signal

示例 2 - 使用直接从 CloudTrail API 和会话级 CLI 摘要查询的 CloudTrail 日志运行该工具

aws cloudtrail lookup-events --lookup-attributes AttributeKey=AccessKeyId,AttributeValue=ASIAPERSHENDETJEMIQ1 | Add-Signal | Show-SessionSummary

示例 3 - 使用基于 Python 的 UI 可视化工具

cat ./Demo/InputEvents.json | Add-Signal | Show-SessionSummaryUI

许可证协议

本项目的开发与发布遵循Apache-2.0开源许可协议。

项目地址

CloudConsoleCartographer：【GitHub传送门】

参考资料

https://permiso.io/

https://permiso.io/blog/introducing-cloud-console-cartographer-an-open-source-tool-to-help-security-team-easily-understand-log-events-generated-by-aws-console-use