AWS、微軟和谷歌等云供應商提供都本機安全工具套件，雖然這些工具很有用，但并不能滿足所有人的需求。

隨著云計算技術的發展，IT團隊通常會發現他們難以在云計算平臺安全地開發和管理工作負載。最終，用戶需要承擔這部分責任，這正是開源云安全工具派上用場的地方。

[[328261]]

主流開源云安全工具通常是由擁有大型IT團隊的公司開發，例如Netflix、Capital One和Lyft公司，他們的IT團隊擁有豐富的云計算經驗。這些團隊開發開源云安全工具來解決特定需求—現有工具和服務無法解決的需求，然后他們會開源化軟件以使其他企業受益。

下面的開源云安全工具并不是完整的列表，但這是很好的起點，特別是當你想了解GitHub最受歡迎的開源云安全工具的話。其中很多工具可跨越各種云環境，而其他工具則專門設計用于與AWS，AWS仍然是使用最廣泛的公共云。下面讓我們看看這些安全工具，以了解其可視性、主動測試和事件響應。

1. Cloud Custodian

Cloud Custodian是無狀態規則引擎，用于管理AWS、Microsoft Azure和Google Cloud Platform(GCP)環境。它通過統一的報告和指標將組企業使用的很多合規性腳本整合到一個工具中。借助Cloud Custodian，你可以設置規則，以根據安全性和合規性標準以及成本優化準則檢查環境。

Cloud Custodian策略以YAML編寫，其中會表明需要檢查的資源類型和集合，以及對這些資源采取何種操作。例如，你可以設置一個策略，在所有Amazon S3存儲桶上啟用存儲桶加密。你還可以將Cloud Custodian連接到本機云服務和無服務器運行時，以自動解析策略。

Cloud Custodian最初是由Capital One的軟件工程師Kapil Thangavelu開發并開源化。

2. Cartography

Cartography可創建基礎設施圖。該自動繪圖工具直觀地說明云基礎架構資產如何連接。這樣可以提高整個團隊的安全可見性。使用此工具可以生成資產報告、突出顯示潛在的攻擊路徑，并確定需要改進安全性的領域。

Cartography由Lyft的工程師用Python開發，并在Neo4j數據庫上運行。它支持AWS、Google Cloud Platform和G Suite上的多種服務。

3. Diffy

Diffy是用于數字取證和事件響應(DFIR)的分類工具。當你的環境受到攻擊或破壞時，DFIR團隊需要負責檢查全部資源，以獲取攻擊者留下的任何東西，這可能是繁瑣的手動過程。而Diffy提供差異引擎，該引擎可突出顯示實例、VM和其他資源行為中的異常值。Diffy會告訴DFIR團隊哪些資源行為異常，以幫助確定從哪里對付攻擊者。

Diffy尚處于開發早期階段，主要用于AWS上的Linux實例，但其插件結構可以支持多個云計算。Diffy用Python編寫，由Netflix的安全情報和響應團隊創建。

4. Gitleaks

Gitleaks是靜態應用程序安全測試工具，可掃描你的Git存儲庫中的機密信息、API密鑰和令牌。隨著IT安全通過DevSecOps左移，開發人員需要在開發規劃中更早地測試代碼。Gitleaks可以掃描專有和企業范圍內的Git存儲庫，以查找已提交和未提交的機密信息，并包括JSON和CSV報告。

Gitleaks用Go編寫，由GitLab的軟件工程師Zachary Rice維護。

5. Git-secrets

Git-secrets是一種開發安全工具，可防止你在Git存儲庫中包含機密和其他敏感信息。它會掃描提交代碼和提交說明，當與你預先配置的禁止表達式模式匹配，它會阻止提交。

Git-secrets旨在AWS中使用，它是由AWS Labs創建的，他們將繼續維護該項目。

6. OSSEC

OSSEC是一個安全平臺，它結合了基于主機的入侵檢測、日志監視以及安全信息和事件管理。最初是為本地安全而開發，你也可以在基于云的VM使用它。

該平臺的優勢之一是其多功能性。它適用于AWS、Azure和GCP環境。它還支持多種操作系統，例如Linux、Windows、Mac OS X和Solaris。OSSEC提供集中式管理服務器來監視跨平臺的策略以及代理和無代理監控。

OSSEC的關鍵功能包括：

• 文件完整性檢查，當系統中的文件或目錄更改時向你發出警報;
• 日志監控，收集和分析系統中的所有日志，并對任何可疑活動發出警報;
• Rootkit檢測，當你的系統經歷類似rootkit的修改時通知你;
• 主動響應，使OSSEC在檢測到特定入侵時立即采取行動

OSSEC由OSSEC基金會維護。

7. PacBot

PacBot，也稱為Policy as Code Bot，它是合規性監視平臺。你可將合規性策略部署為代碼，PacBot會根據這些策略檢查你的資源和資產。你可以使用PacBot自動創建合規性報告，并使用預定義的修復程序解決合規性違規問題。

你可使用Asset Group功能在PacBot UI儀表板內整理資源—基于某些標準。例如，你可以按狀態(例如，掛起、運行或關閉)對所有Amazon EC2實例分組，然后整體查看。你還可以將監視操作的范圍限制為資產組，以實現更有針對性的合規性。

PacBot由T-Mobile創建，他們將繼續維護，可與AWS和Azure一起使用。

8. Pacu

Pacu是用于AWS環境的滲透測試工具集。它為紅色團隊提供了一系列攻擊模塊，旨在破壞EC2實例、測試S3存儲桶配置、破壞監視功能等。該工具包當前具有36個插件模塊，并包括用于文檔編制和測試時間表的內置攻擊審核。

Pacu用Python編寫，由滲透測試提供商Rhino Security Labs維護。

9. Prowler

Prowler是一個AWS命令行工具，可根據AWS Center for Internet Security基準以及GDPR和HIPAA評估你的基礎架構。你可以檢查整個基礎架構，也可以指定要查看的AWS配置文件或區域。Prowler可以同時運行多個審查，并以CSV、JSON和HTML等標準格式生成報告。它還可與AWS Security Hub集成。

Prowler由AWS安全顧問Toni de la Fuente創建，并由他維護該項目。

10. Security Monkey

Security Monkey是一個監視工具，可監視AWS、GCP和OpenStack環境中的策略更改和易受攻擊的配置。例如，在AWS中，Security Monkey在添加或刪除S3存儲桶或安全組時會向你發出警報，并跟蹤你的AWS Identity and Access Management密鑰以及很多其他監視任務。

Security Monkey是由Netflix開發，盡管他們對該工具的支持現在僅限于較小的錯誤修復。商業替代品包括AWS Config和Google Cloud Asset Inventory。