mcpField
D
detecting-aws-iam-privilege-escalation

detecting-aws-iam-privilege-escalation

github.com/mukul975安全35.2k85 次安装8 周前更新
代码仓库

关于 detecting-aws-iam-privilege-escalation

这是一项使用 boto3 和类似 Cloudsplaining 的策略分析来发现 AWS IAM 权限提升路径的安全技能。它将高风险权限关联到主体，并生成按严重程度排序且附带修复建议的发现报告。

主要功能

  1. 01获取账户 IAM 授权详情
  2. 02检测高风险权限组合
  3. 03标记危险的通配资源
  4. 04映射主体与权限提升路径
  5. 05生成按严重程度排序的 JSON 结果

适用场景

  1. 01审计 AWS 账户中的权限提升路径
  2. 02确定需优先修复的高风险 IAM 策略
  3. 03检查 IAM 策略是否符合最小权限原则

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-aws-iam-privilege-escalation

安装后在 Claude Code 中输入/detecting-aws-iam-privilege-escalation确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

检测 AWS IAM 权限提升

概述

本技能使用 boto3 和 Cloudsplaining 风格的分析来识别 AWS 账户中的 IAM 权限提升路径。它下载账户授权详情，分析每个策略中是否存在危险的权限组合（iam:PassRole + lambda:CreateFunction、iam:CreatePolicyVersion、sts:AssumeRole），并标记违反最小权限原则的策略。

何时使用

  • 在调查需要检测 aws iam 权限提升的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前提条件

  • Python 3.8+ 及 boto3 库
  • 具有 IAM 只读访问权限的 AWS 凭证（iam:GetAccountAuthorizationDetails）
  • 可选：用于生成 HTML 报告的 cloudsplaining Python 包

步骤

  1. 下载 IAM 授权详情 — 调用 iam:GetAccountAuthorizationDetails 以检索所有用户、组、角色和策略
  2. 分析策略中的权限提升 — 检查每个策略是否存在已知的权限提升组合
  3. 识别通配符资源策略 — 标记使用 Resource: "*" 且包含危险操作的策略
  4. 映射主体到策略的关系 — 构建哪些主体可以访问哪些权限提升路径的图
  5. 评分并确定发现的优先级 — 根据权限提升向量类型对发现进行严重性排序
  6. 生成报告 — 生成包含修复指导的结构化 JSON 报告

预期输出

  • 包含严重性评分的权限提升发现 JSON 报告
  • 每个主体的危险权限组合列表
  • 通配符资源策略审计结果
  • 针对每项发现的修复建议

评论

支持 Markdown