GCP Scanner：一款针对Google Cloud Platform（GCP）的凭证安全审计工具
关于GCP Scanner
GCP Scanner是一款针对Google Cloud Platform（GCP）的凭证安全审计工具，该工具可以帮助广大安全工程师对GCP凭证快速执行安全审计分析。该工具本质上是一个针对GCP的资源扫描器，可以确定某些凭证在GCP上拥有怎样级别的访问权限。该工具旨在帮助研究人员评估某个虚拟机/容器的安全态势，以及GCP服务器账户和OAuth2令牌密钥泄漏所产生的安全影响。
功能介绍
当前版本的GCP Scanner支持扫描下列GCP资源：
GCE
GCS
GKE
App Engine
Cloud SQL
BigQuery
Spanner
Pub/Sub
Cloud Functions
BigTable
CloudStore
KMS
Cloud Services
当前版本的GCP Scanner支持提取和使用下列类型的凭证：
1、GCP VM实例元数据；
2、存储在gcloud配置文件中的用户凭证；
3、OAuth2刷新令牌（云平台范围授权）；
4、GCP服务账号密钥（JSON格式）；
该工具不需要依赖任何第三方工具（例如gcloud等），因此它可以作为一款独立工具进行编译和运行，而且可以在没有安装GCP SDK的设备上使用。但是，当前版本的GCP Scanner仅支持在Linux操作系统上运行。
工具安装
由于该工具基于Python 3开发，因此我们首先需要在本地设备上安装并配置好Python 3环境。接下来，我们可以直接使用pip工具安装GCP Scanner：
pip install gcp_scanner python3 -m gcp_scanner --help
除此之外，我们也可以使用下列命令将该项目源码克隆至本地，并手动安装工具依赖组件：
git clone https://github.com/google/gcp_scanner cd gcp_scanner pip install . gcp-scanner --help
如果你想要在Docker容器中使用GCP Scanner的话，可以使用下面的Docker构建文件：
docker build -f Dockerfile -t sa_scanner .
命令行选项
usage: python3 scanner.py -o folder_to_save_results -g -
GCP Scanner
options:
-h, --help 显示工具帮助信息和退出
-ls, --light-scan 仅在输出中提供最重要的GCP资源信息
-k KEY_PATH, --sa-key-path KEY_PATH
包含JSON格式SA密钥数据的目录路径
-g GCLOUD_PROFILE_PATH, --gcloud-profile-path GCLOUD_PROFILE_PATH
gcloud配置文件目录路径
-m, --use-metadata 从GCE实例元数据中提取凭证信息
-at ACCESS_TOKEN_FILES, --access-token-files ACCESS_TOKEN_FILES
包含访问令牌和OAuth数据的文件列表（JSON格式，逗号分隔）
-rt REFRESH_TOKEN_FILES, --refresh-token-files REFRESH_TOKEN_FILES
包含refresh_token、client_id、token_uri和client_secret的文件列表（JSON格式，逗号分隔）
-s KEY_NAME, --service-account KEY_NAME
要扫描的单个SA名称
-p TARGET_PROJECT, --project TARGET_PROJECT
要扫描的单个项目名称
-f FORCE_PROJECTS, --force-projects FORCE_PROJECTS
要扫描的项目名称列表（逗号分隔）
-c CONFIG_PATH, --config CONFIG_PATH
包含指定待扫描资源目标的配置文件路径
-l {DEBUG,INFO,WARNING,ERROR,CRITICAL}, --logging {DEBUG,INFO,WARNING,ERROR,CRITICAL}
设置日志记录级别 (INFO, WARNING, ERROR)
-lf LOG_FILE, --log-file LOG_FILE
存储日志文件路径
-pwc PROJECT_WORKER_COUNT, --project-worker-count PROJECT_WORKER_COUNT
设置并行项目爬虫数量
-rwc RESOURCE_WORKER_COUNT, --resource-worker-count RESOURCE_WORKER_COUNT
设置并行资源爬虫数量
Required parameters:
-o OUTPUT, --output-dir OUTPUT
输出目录路径
使用PyInstaller构建独立可执行代码
使用下列内容替换pyproject.toml文件中的“google-api-python-client==2.80.0”：
google-api-python-client==1.8.0
然后切换到工具源代码目录中，并使用PyInstaller编译独立代码：
pyinstaller -F --add-data 'roots.pem:grpc/_cython/_credentials/' scanner.py
工具输出结果
GCP Scanner将在扫描完成后生成一个单独的JSON文件，可以使用任意JSON文件查看器或数据库来处理生成的JSON文件。我们也提供了一个基于Web的工具来帮助大家以可视化的形式分析结果数据，运行命令如下：
usage: gcp-scanner-visualizer -p 8080 GCP Scanner Visualizer options: -h, --help 查看工具帮助信息和退出 -p PORT, --port PORT 要监听的端口号，默认为8080
工具运行截图
许可证协议
本项目的开发与发布遵循Apache-2.0开源许可证协议。
项目地址
GCP Scanner：【GitHub传送门】
参考资料
https://cloud.google.com/policy-intelligence/docs/analyze-iam-policies
https://cloud.google.com/iam/docs/impersonating-service-accounts