bridgecrew/dockerized-prowler

Prowler: AWS CIS基准工具 Docker镜像

镜像概述和主要用途

Prowler是一个命令行工具，用于AWS安全最佳实践评估、审计、强化和取证准备。本Docker镜像提供了Prowler的容器化版本，无需手动安装依赖（如AWS-CLI、jq等），支持使用外部ID进行角色假设，方便在不同环境中快速部署和运行安全检查。

核心功能和特性

• 全面的安全检查：覆盖约140项安全控制，包括CIS AWS基础基准（49项检查）及额外检查（如GDPR、HIPAA相关），涉及身份与访问管理（group1）、日志（group2）、监控（group3）、网络（group4）等多个领域。
• 多输出格式：支持文本（默认彩色）、单色文本、CSV、JSON、JSON ASFF（Amazon Security Finding Format）、JUnit XML和HTML格式报告，可同时生成多种格式。
• 灵活的检查方式：可指定单个检查（-c）、检查组（-g）、排除特定检查（-E），支持列出所有检查（-l）和检查组（-L）。
• 多账户支持：通过角色假设（Assume Role）功能检查多个AWS账户，支持外部ID（-I）和会话时长设置（-T），可并行运行（-P）。
• 安全中心集成：支持将检查结果直接发送到AWS Security Hub（需JSON ASFF格式和相应权限）。
• 取证准备检查：提供专门的取证准备检查组（forensics-ready），确保日志和审计功能启用。
• 合规性检查：包含GDPR（gdpr）、HIPAA（hipaa）等合规相关检查组。

使用场景和适用范围

• AWS环境的安全基线评估和合规性检查（CIS、GDPR、HIPAA等）。
• 多账户AWS环境的批量安全审计。
• 持续安全监控，定期生成报告并发送至Security Hub。
• 取证准备状态检查，确保事件发生时可收集必要证据。
• 快速验证AWS资源配置是否符合安全最佳实践。

详细使用方法和配置说明

前提条件

• 拥有有效的AWS凭证（Access Key ID、Secret Access Key，可选Session Token），且关联的用户/角色需具备以下权限：
  • AWS托管策略：arn:aws:iam::aws:policy/SecurityAudit 和 arn:aws:iam::aws:policy/job-function/ViewOnlyAccess
  • 额外权限（用于Extras检查）：https://github.com/toniblyx/prowler/blob/master/iam/prowler-additions-policy.json
  • 若需发送至Security Hub：https://github.com/toniblyx/prowler/blob/master/iam/prowler-security-hub.json

Docker基本运行命令

无需安装依赖，直接通过Docker运行：

bash
docker run -ti --rm --name prowler \
  --env AWS_ACCESS_KEY_ID \
  --env AWS_SECRET_ACCESS_KEY \
  --env AWS_SESSION_TOKEN \
  toniblyx/prowler:latest

指定AWS配置文件和区域

使用自定义AWS CLI配置文件（需本地~/.aws/credentials挂载，或通过环境变量传递）：

bash
docker run -ti --rm --name prowler \
  -v ~/.aws:/root/.aws \
  toniblyx/prowler:latest -p custom-profile -r us-east-1

运行特定检查

• 单个检查（如check310）：

  bash
  docker run -ti --rm --name prowler \
    --env AWS_ACCESS_KEY_ID --env AWS_SECRET_ACCESS_KEY \
    toniblyx/prowler:latest -c check310
  

• 多个检查（逗号分隔）：

  bash
  docker run -ti --rm --name prowler \
    --env AWS_ACCESS_KEY_ID --env AWS_SECRET_ACCESS_KEY \
    toniblyx/prowler:latest -c check310,check722
  

• 检查组（如GDPR相关）：

  bash
  docker run -ti --rm --name prowler \
    --env AWS_ACCESS_KEY_ID --env AWS_SECRET_ACCESS_KEY \
    toniblyx/prowler:latest -g gdpr
  

生成报告并保存

挂载本地目录以保存输出报告：

bash
docker run -ti --rm --name prowler \
  -v "$(pwd)/output:/prowler/output" \
  --env AWS_ACCESS_KEY_ID --env AWS_SECRET_ACCESS_KEY \
  toniblyx/prowler:latest -M csv,json,html

报告将保存在本地output目录，文件名为prowler-output-AWSACCOUNTID-YYYYMMDDHHMMSS.format。

角色假设（带外部ID）

检查另一个AWS账户，通过Assume Role并指定外部ID：

bash
docker run -ti --rm --name prowler \
  --env AWS_ACCESS_KEY_ID --env AWS_SECRET_ACCESS_KEY \
  toniblyx/prowler:latest -A 123456789012 -R ProwlerRole -I 123456 -T 43200

• -A：目标账户ID
• -R：要假设的角色名称
• -I：外部ID（可选）
• -T：会话时长（秒，默认3600，最大43200）

发送至Security Hub

生成JSON ASFF格式报告并发送至Security Hub：

bash
docker run -ti --rm --name prowler \
  --env AWS_ACCESS_KEY_ID --env AWS_SECRET_ACCESS_KEY \
  toniblyx/prowler:latest -M json-asff -S

仅显示失败项

使用-q标志减少输出噪音，仅显示失败的检查：

bash
docker run -ti --rm --name prowler \
  --env AWS_ACCESS_KEY_ID --env AWS_SECRET_ACCESS_KEY \
  toniblyx/prowler:latest -q -M csv -b

帮助信息

查看所有可用选项：

bash
docker run -ti --rm toniblyx/prowler:latest -h

Docker Compose示例

创建docker-compose.yml：

yaml
version: '3'
services:
  prowler:
    image: toniblyx/prowler:latest
    environment:
      - AWS_ACCESS_KEY_ID=your_access_key
      - AWS_SECRET_ACCESS_KEY=your_secret_key
      - AWS_SESSION_TOKEN=your_session_token  # 可选
    volumes:
      - ./output:/prowler/output
    command: -M csv,html -g cislevel1 -q

运行：docker-compose up

环境变量说明

故障排除

• STS令牌过期：重新生成临时凭证，或通过MFA更新会话（参考AWS CLI MFA流程）。
• 权限不足：确保已附加所需的AWS托管策略和自定义策略（见前提条件）。
• 报告未生成：检查本地挂载目录权限，确保容器可写入。

许可证

Prowler遵循MIT许可证，详见https://github.com/toniblyx/prowler%E3%80%82