CloudSec-Jay/cloud-security-engineer
GitHub: CloudSec-Jay/cloud-security-engineer
跨 AWS 和 Azure 的多云安全工具集，整合 IaC 安全、Wazuh 检测工程、威胁狩猎和四大框架合规映射。
Stars: 0 | Forks: 0
# 🛡️ cloud-security-engineer
适用于 AWS 和 Azure 的多云安全检测、防护及响应工具集。
由一位正转型为云安全工程师的数据中心运维工程师构建。物理基础设施背景——电力、制冷、布线、机架构建、环境监控、网络拓扑——在云安全候选人中极为罕见。大多数申请人只了解 API 层。而这位工程师深知其底层原理。
每个脚本、策略和检测规则都贯穿四个框架，并严格执行 Zero Trust——它不是事后诸葛亮，而是组织原则。一个配置错误的 S3 bucket 不仅仅是一个 Checkov 发现。它是 [A02:2025](https://owasp.org/www-project-top-ten/)，通过 [T1530](https://attack.mitre.org/techniques/T1530/) 利用，受 [PR.DS-1](https://www.nist.gov/cyberframework) 管控，由 [CIS 3.3](https://www.cisecurity.org/controls/v8) 衡量，并且违反了 Zero Trust *最小权限访问* 原则。这就是本仓库的构建方式。
## 🗂️ 组织结构
```
cloud-security-engineer/
├── iac-security/ Prevention layer — IaC, container security, supply chain
├── siem-detection/ Detection layer — Wazuh XDR/SIEM rules, agent configs, response
├── identity-access-management/ Cross-cloud IAM — AWS, Azure Entra ID, on-prem
├── app-security/ Purple team — offensive TTPs feed defensive detections
├── security-analytics/ Threat hunting, digital forensics, security data science
├── frameworks/ OWASP ↔ MITRE ↔ NIST ↔ CIS correlation engine
└── docs/ Architecture decisions, compliance matrices, context
```
### 🏗️ `iac-security/` — 预防层
跨七个工具的加固模块和模板。任何代码未通过 Security Gauntlet 均无法发布。
| 工具 | 内容 | 重要性 |
|------|-------------|----------------|
|  | AWS 开发/生产环境 + 网络和 IAM 模块 | 将最小权限默认值植入每个资源 |
|  | 网络 + 安全堆栈模板 | 部署前强制执行 AWS 原生防护栏 |
|  | Azure 基线模板 | Entra ID, Key Vault, NSG 安全默认值 |
|  | CIS 加固的 Docker/Ubuntu 镜像流水线 | 不可变基线——在构建时进行补丁和加固 |
|  | DVWA 实验室, 可观测性堆栈, cloudsec-dashboard 应用 | 用于测试和检测的可复现实验室环境 |
|  | RHEL CIS Level 1 角色（6 个部分）, 系统加固 Playbooks | 部署后的合规性强制执行 |
|  | `k8s-block-privileged.rego` — 阻止特权容器 | 策略即代码关卡；违规时流水线失败 |
**黄金镜像流水线** — CIS 基准合规性流经三个阶段：
```
Wazuh SCA check fails → RHEL CIS Level 1 Ansible role remediates → Packer bakes hardened image → deploy
```
**`container-security/`** — Cilium eBPF 身份感知微隔离 (`global-default-deny.yaml`)，Hubble 网络可观测性。Zero Trust 网络控制 (NIST SC-7) —— 而非 K8s 运维。
**`supply-chain/`** — 用于基础镜像完整性校验的校验和验证器 (OWASP A08, MITRE T1195.002, NIST PR.DS-6)。在镜像导入 Packer 流水线之前进行验证。
### 🔒 Security Gauntlet — CI/CD 流水线
每次推送到 `iac-security/**` 都会触发六阶段自动安全扫描：
| 阶段 | 工具 | 检查内容 |
|-------|------|----------------|
| 1 | Gitleaks | 硬编码机密 (NIST IA-2) |
| 2 | Checkov + tfsec + TFLint | IaC SAST — 1000+ 安全策略 (NIST SI-2) |
| 3 | Trivy | 文件系统和容器依赖中的 CVE (RA-5) |
| 4 | Ansible-lint + Hadolint | Playbook 和 Dockerfile 质量 |
| 5 | OPA | 自定义准入控制策略强制执行 (NIST AC-3) |
| 6 | SARIF upload | 发现的问题将显示在 GitHub Security 标签页 |
Pre-commit 钩子在本地镜像流水线：每次提交前运行 Gitleaks, Checkov, terraform_fmt, terraform_tflint, terraform_trivy, Hadolint, ansible-lint, OPA 检查和 Wazuh XML 语法验证。
### 🔑 `identity-access-management/` — 跨云 IAM
跨三个环境的每次访问决策均遵循最小权限原则。
- **`aws-iam/`** — SCP 模板, Access Analyzer 自动化, 凭证报告分析, MFA 合规性 *(构建中)*
- **`azure-entra-id/`** — 条件访问模板, PIM JIT 审计, 陈旧应用注册清理, Graph API 登录风险监控 *(构建中)*
- **`on-prem/`** — 用于 Active Directory 的 PowerShell 自动化：`remove-pattern.ps1` 演示了幂等、支持干运行的基于模式的修复
### 🕵️ `app-security/` — 紫队 & 攻击性测试
攻击性 TTP 助推防御性检测规则。每次任务都遵循三问关卡：*它检测什么，攻击者如何绕过它，警报触发 60 秒后会发生什么。*
- **`purple-team/`** — 基于任务的框架：`MISSION_TEMPLATE.md` 强制执行攻击→防御文档闭环。`LAB_GUIDE.md` 涵盖攻击场景 (SQLi, XSS, JWT manipulation, IDOR), Wazuh 验证步骤和主动响应测试
- **`dvwa/`** — 用于亲手测试 OWASP Top 10 的 DVWA 实验室环境 *(构建中)*
- **`burp-suite/`** — Burp Suite 侦察、注入、认证和 API 测试方法论 *(构建中)*
### 📡 `siem-detection/` — Wazuh XDR/SIEM
检测层。每条规则都在回答：*如果攻击者做了 X，Wazuh 能捕捉到吗？*
- **`wazuh/rules/linux/`** — 标记有 MITRE ATT&CK ID、OWASP 类别、NIST 子类别、CIS 安全保障 ID 和 Zero Trust 支柱标签的自定义 XML 规则。每条规则在 `标签：AI合规, AMSI绕过, AppSec, CIS Controls, Cloudflare, DevSecOps, Entra ID, IaC 安全, IAM, MITRE ATT&CK, NIST CSF, OWASP Top 10, S3 存储桶, Wazuh, Web截图, 上游代理, 威胁检测, 安全合规, 安全响应, 安全策略, 安全运营, 容器安全, 扫描框架, 提示词设计, 数据中心运维, 漏洞利用检测, 物理基础设施, 系统提示词, 网络代理, 请求拦截, 身份与访问管理, 逆向工具, 零信任架构