Prowler : audit de sécurité cloud multi-providers

Prowler scanne vos environnements cloud et identifie les écarts de sécurité en quelques minutes. Avec 570 contrôles AWS, 165 Azure, 99 GCP et 83 Kubernetes (version 5.17), il vérifie automatiquement la conformité aux standards CIS, NIST, PCI-DSS, SOC2 et bien d'autres.

Prowler en 30 secondes

# Scanner AWS avec les contrôles CIS 2.0
prowler aws --compliance cis_2.0_aws

# Scanner Kubernetes
prowler kubernetes

# Scanner avec rapport HTML
prowler aws -M html

Pas de configuration complexe. Prowler utilise vos credentials existants.

Ce que vous allez apprendre

• Scanner un environnement cloud : lancer un audit AWS, Azure, GCP ou Kubernetes
• Vérifier la conformité : utiliser les frameworks CIS, NIST, PCI-DSS
• Analyser les résultats : comprendre et exploiter les rapports générés
• Automatiser : intégrer Prowler dans vos pipelines CI/CD

Qu'est-ce que Prowler ?

Prowler est un outil open source de CSPM (Cloud Security Posture Management) qui audite automatiquement la sécurité de vos environnements cloud. Développé initialement pour AWS, il supporte maintenant plusieurs providers.

Providers supportés

La colonne qui compte au démarrage est Checks : c'est le volume de contrôles que Prowler exécute par défaut sur ce provider, donc l'ordre de grandeur du temps de scan et du bruit à trier. AWS est le plus mature avec 570 contrôles, les autres providers montent en couverture à chaque version. Les valeurs ci-dessous correspondent à Prowler 5.17 ; elles augmentent à chaque release, vérifiez avec prowler <provider> --list-checks.

Provider	Checks	Frameworks	Cas d'usage
AWS	570	40	Comptes AWS, organisations
Azure	165	16	Subscriptions Azure
GCP	99	14	Projets Google Cloud
Kubernetes	83	7	Clusters K8s (minikube, EKS, AKS, GKE)
GitHub	20	-	Repos, organisations
M365	70	-	Microsoft 365, Exchange

Glissez pour voir

Frameworks de conformité

Prowler vérifie la conformité à de nombreux standards :

Framework	Description	Providers
CIS Benchmarks	Bonnes pratiques de sécurité par le CIS	AWS, Azure, GCP, K8s
NIST 800-53	Standard fédéral américain (rev. 4 et 5)	AWS, Azure, GCP
PCI-DSS	Sécurité des données de paiement (v3.2.1 et v4.0)	AWS, Azure, GCP, K8s
SOC2	Contrôles pour les fournisseurs de services	AWS, Azure, GCP
HIPAA	Protection des données de santé	AWS, GCP
GDPR	Règlement européen sur les données	AWS
ISO 27001	Management de la sécurité (2013 et 2022)	AWS, Azure, GCP, K8s
MITRE ATT&CK	Mapping des techniques d'attaque	AWS, Azure, GCP

Glissez pour voir

Installation

Prowler s'installe via pip (Python ≥ 3.9) ou Docker.

pip (recommandé)

# Installation avec pipx (isolé)
pipx install prowler

# Ou avec pip
pip install prowler

Docker

# Image stable
docker pull toniblyx/prowler:stable

# Exécuter un scan AWS
docker run -v ~/.aws:/root/.aws toniblyx/prowler:stable aws

Depuis les sources

git clone https://github.com/prowler-cloud/prowler
cd prowler
pip install .

Vérifiez l'installation :

prowler -v

Sortie attendue

Prowler 5.17.0

Scanner AWS

Prérequis

Prowler utilise vos credentials AWS existants (profil configuré, variables d'environnement ou rôle IAM).

# Vérifier vos credentials
aws sts get-caller-identity

Scan complet

prowler aws

Prowler exécute tous les 570 checks sur toutes les régions de votre compte.

Scan ciblé

Un scan complet sur toutes les régions prend plusieurs minutes et remonte des centaines de résultats. En phase d'investigation, restreignez le périmètre pour itérer vite : par région avec -f, par service avec --services, ou par check précis avec --checks. Les trois onglets ci-dessous couvrent ces cas ; chaque option accepte aussi sa variante d'exclusion pour retirer un service ou un check bruyant du scan.

Par région

# Scanner uniquement eu-west-1 et eu-west-3
prowler aws -f eu-west-1 eu-west-3

Par service

# Scanner S3 et IAM uniquement
prowler aws --services s3 iam

# Exclure certains services
prowler aws --excluded-services ec2 rds

Par check

# Exécuter des checks spécifiques
prowler aws --checks s3_bucket_public_access iam_root_mfa_enabled

# Exclure des checks
prowler aws --excluded-checks s3_bucket_versioning_enabled

Scan de conformité

Pour vérifier la conformité à un framework spécifique :

# CIS AWS Benchmark 2.0
prowler aws --compliance cis_2.0_aws

# NIST 800-53 Revision 5
prowler aws --compliance nist_800_53_revision_5_aws

# PCI-DSS v4.0
prowler aws --compliance pci_4.0_aws

Lister les frameworks disponibles

prowler aws --list-compliance

Affiche les 40 frameworks disponibles pour AWS.

Exemple de sortie

À la fin du scan, deux blocs comptent. La ligne Overview Results donne le taux global (Failed / Passed / Muted) : c'est votre indicateur de posture. Le tableau Scan Results ventile ensuite les échecs par service et par sévérité ; les colonnes de sévérité ne comptent que les FAIL. Attaquez d'abord la colonne Critical, puis High : ce sont les écarts exploitables à court terme.

                         _
 _ __  _ __ _____      _| | ___ _ __
| '_ \| '__/ _ \ \ /\ / / |/ _ \ '__|
| |_) | | | (_) \ V  V /| |  __/ |
| .__/|_|  \___/ \_/\_/ |_|\___|_|v5.17.0
|_| the handy multi-cloud security tool

Date: 2026-01-23 16:48:00

Executing 570 checks, please wait...
-> Scan completed! |▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉| 570/570 [100%] in 2m 30s

Overview Results:
╭────────────────────┬────────────────────┬────────────────╮
│ 15.2% (87) Failed  │ 84.8% (483) Passed │ 0.0% (0) Muted │
╰────────────────────┴────────────────────┴────────────────╯

Account 123456789012 Scan Results (severity columns are for fails only):
╭──────────┬───────────┬───────────┬──────────┬────────┬──────────┬───────┬─────────╮
│ Provider │ Service   │ Status    │ Critical │   High │   Medium │   Low │   Muted │
├──────────┼───────────┼───────────┼──────────┼────────┼──────────┼───────┼─────────┤
│ aws      │ iam       │ FAIL (12) │        2 │      5 │        4 │     1 │       0 │
│ aws      │ s3        │ FAIL (8)  │        1 │      3 │        4 │     0 │       0 │
│ aws      │ ec2       │ FAIL (15) │        0 │      8 │        7 │     0 │       0 │
╰──────────┴───────────┴───────────┴──────────┴────────┴──────────┴───────┴─────────╯

Scanner Kubernetes

Prowler peut auditer n'importe quel cluster Kubernetes : minikube, kind, EKS, AKS, GKE...

Prérequis

Prowler utilise votre kubeconfig par défaut (~/.kube/config).

# Vérifier la connexion au cluster
kubectl cluster-info

Scan complet

La commande sans argument lance les 83 contrôles Kubernetes sur tous les namespaces accessibles via votre kubeconfig. Sur un cluster managé (EKS, AKS, GKE), les contrôles du plan de contrôle (apiserver, etcd, scheduler) remontent souvent en MANUAL car le fournisseur gère cette couche : c'est normal, ils ne sont pas exploitables de votre côté.

prowler kubernetes

Scan de conformité CIS

Plutôt que les 83 contrôles bruts, cadrez le scan sur le CIS Kubernetes Benchmark : Prowler ne garde que les checks rattachés au référentiel et présente le résultat par exigence, ce qui produit un rapport directement présentable en audit.

# CIS Kubernetes Benchmark 1.12
prowler kubernetes --compliance cis_1.12_kubernetes

Exemple de sortie

Sur Kubernetes, regardez surtout le service rbac : les échecs y révèlent des rôles trop permissifs (cluster-admin distribué trop largement, ServiceAccount avec des droits d'écriture globaux). C'est le premier vecteur d'escalade de privilèges dans un cluster, avant même les réglages de l'apiserver.

                         _
 _ __  _ __ _____      _| | ___ _ __
| '_ \| '__/ _ \ \ /\ / / |/ _ \ '__|
| |_) | | | (_) \ V  V /| |  __/ |
| .__/|_|  \___/ \_/\_/ |_|\___|_|v5.17.0
|_| the handy multi-cloud security tool

Date: 2026-01-23 16:49:48

-> Using the Kubernetes credentials below:
  · Kubernetes Cluster: minikube
  · User: minikube
  · Namespaces: default, kube-node-lease, kube-public, kube-system

Executing 81 checks, please wait...
-> Scan completed! |▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉▉| 81/81 [100%] in 0.3s

Overview Results:
╭───────────────────┬─────────────────────┬────────────────╮
│ 9.46% (47) Failed │ 87.73% (436) Passed │ 0.0% (0) Muted │
╰───────────────────┴─────────────────────┴────────────────╯

Context minikube Scan Results (severity columns are for fails only):
╭────────────┬───────────────────┬───────────┬──────────┬────────┬──────────┬───────╮
│ Provider   │ Service           │ Status    │ Critical │   High │   Medium │   Low │
├────────────┼───────────────────┼───────────┼──────────┼────────┼──────────┼───────┤
│ kubernetes │ apiserver         │ FAIL (12) │        0 │      5 │        7 │     0 │
│ kubernetes │ controllermanager │ FAIL (1)  │        0 │      0 │        1 │     0 │
│ kubernetes │ rbac              │ FAIL (19) │        0 │     19 │        0 │     0 │
╰────────────┴───────────────────┴───────────┴──────────┴────────┴──────────┴───────╯

Scan ciblé par namespace

prowler kubernetes --namespaces production staging

Scanner Azure et GCP

Le squelette de commande reste identique, seule l'authentification change de provider à provider. Sur Azure, Prowler s'appuie sur une session az login existante (--az-cli-auth) ou sur un Service Principal via variables d'environnement (--sp-env-auth). Sur GCP, il réutilise le jeton gcloud auth par défaut, ou un fichier de clé de Service Account. Choisissez le mode non interactif (Service Principal, Service Account) dès que le scan tourne dans une pipeline.

Azure

# Avec Azure CLI (az login)
prowler azure --az-cli-auth

# Avec Service Principal
prowler azure --sp-env-auth

# Subscriptions spécifiques
prowler azure --az-cli-auth --subscription-ids sub-id-1 sub-id-2

GCP

# Avec compte utilisateur (gcloud auth)
prowler gcp

# Avec Service Account
prowler gcp --credentials-file /path/to/sa-key.json

# Projets spécifiques
prowler gcp --project-ids project-1 project-2

Formats de sortie

Par défaut, Prowler génère des rapports CSV, JSON-OCSF et HTML.

# Spécifier les formats
prowler aws -M csv json-ocsf html

# Avec JSON-ASFF (pour AWS Security Hub)
prowler aws -M json-asff

# Dossier de sortie personnalisé
prowler aws -o /path/to/reports/

Rapport HTML

Le rapport HTML est interactif et facilement partageable :

Section	Contenu
Overview	Résumé graphique des résultats
Findings	Liste détaillée par sévérité
Resources	Ressources affectées
Remediation	Recommandations de correction

Glissez pour voir

Dashboard local

Prowler inclut un dashboard local pour visualiser les résultats :

prowler dashboard

Ouvre un dashboard web sur http://localhost:8050 avec vos scans précédents.

Intégration CI/CD

GitHub Actions

L'action officielle est publiée depuis le dépôt principal prowler-cloud/prowler (à partir de la version 5.25), pas depuis un dépôt -action séparé. Les paramètres clés sont provider, output-formats (séparés par des espaces, pas des virgules), flags pour tout argument CLI supplémentaire comme --compliance, et upload-sarif pour remonter les résultats dans l'onglet Security > Code scanning du dépôt. Le workflow ci-dessous applique le moindre privilège : permissions: {} global, puis les seules permissions nécessaires au job.

.github/workflows/prowler.yml

name: Prowler Security Scan

on:
  schedule:
    - cron: '0 6 * * *'  # Tous les jours à 6h
  workflow_dispatch:

permissions: {}

jobs:
  prowler:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      security-events: write  # requis par upload-sarif
    steps:
      - name: Configure AWS credentials
        uses: aws-actions/configure-aws-credentials@7474bc4690e29a8392af63c5b98e7449536d5c3a  # v4
        with:
          aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
          aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          aws-region: eu-west-1

      - name: Run Prowler
        uses: prowler-cloud/prowler@9b0c4a0073daa877e6da1164cff0c69ff82ab465  # 5.35.0
        with:
          provider: aws
          output-formats: sarif json-ocsf
          upload-sarif: true
          flags: --compliance cis_2.0_aws

      - name: Upload results
        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02  # v4
        with:
          name: prowler-report
          path: output/

GitLab CI

.gitlab-ci.yml

prowler-scan:
  image: toniblyx/prowler:5.35.0
  stage: security
  script:
    - prowler aws --compliance cis_2.0_aws -M json html
  artifacts:
    paths:
      - output/
    expire_in: 30 days
  rules:
    - if: $CI_PIPELINE_SOURCE == "schedule"

Permissions IAM

Pour un scan complet, Prowler a besoin de permissions en lecture sur de nombreux services. Utilisez la policy SecurityAudit managée par AWS ou créez une policy personnalisée basée sur la documentation Prowler.

Dépannage

Problèmes courants

La plupart des blocages au premier scan viennent des credentials ou des permissions, pas de Prowler lui-même. Le tableau relie chaque message d'erreur à sa cause la plus fréquente ; commencez par vérifier l'identité active (aws sts get-caller-identity) avant de suspecter un bug de l'outil.

Symptôme	Cause probable	Solution
NoCredentialProviders	Pas de credentials AWS	Configurez aws configure ou les variables d'environnement
AccessDenied sur certains checks	Permissions insuffisantes	Ajoutez la policy SecurityAudit
Scan très lent	Toutes régions scannées	Limitez avec -f eu-west-1
Error: context deadline exceeded	Timeout Kubernetes	Vérifiez la connectivité au cluster

Glissez pour voir

Commandes de diagnostic

Avant de relancer un scan complet qui échoue, isolez la couche fautive avec ces commandes. Elles répondent chacune à une question précise : les credentials sont-ils valides, le cluster est-il joignable, le check ciblé existe-t-il bien sous ce nom. Un --list-checks filtré évite aussi les fautes de frappe dans les identifiants passés à --checks.

# Vérifier les credentials AWS
aws sts get-caller-identity

# Vérifier la connexion Kubernetes
kubectl auth can-i list pods --all-namespaces

# Lister les checks disponibles
prowler aws --list-checks | grep s3

# Lister les services scannables
prowler aws --list-services

Bonnes pratiques

Sécurité

Prowler ne lit que votre infrastructure, mais ses credentials et ses rapports deviennent eux-mêmes une cible : un rôle trop large ou un rapport HTML laissé en clair renseigne un attaquant sur vos failles. Ces trois réflexes limitent l'exposition.

• Principe du moindre privilège : créez un rôle IAM dédié avec uniquement les permissions de lecture nécessaires
• Pas de credentials en clair : utilisez des rôles IAM, des Service Accounts ou des variables d'environnement
• Chiffrez les rapports : les résultats contiennent des informations sensibles sur votre infrastructure

Organisation

Un premier scan remonte facilement des dizaines d'écarts : sans méthode, la liste décourage plus qu'elle n'aide. L'enjeu est de transformer ce bruit en file de travail priorisée et de suivre sa réduction dans le temps.

• Scans réguliers : planifiez des scans quotidiens ou hebdomadaires
• Baseline : établissez une baseline et suivez l'évolution dans le temps
• Priorisation : traitez d'abord les findings Critical et High
• Faux positifs : déclarez-les dans un fichier de mutelist passé avec --mutelist-file (option -w), plutôt que de les subir à chaque scan

Performance

Sur un grand compte multi-régions, le temps de scan grimpe vite. Deux leviers le maîtrisent : réduire le périmètre aux régions réellement utilisées, et laisser Prowler exploiter sa parallélisation intégrée sans la brider.

• Ciblez les régions : scannez uniquement les régions utilisées avec -f
• Parallélisation : Prowler parallélise automatiquement les checks
• Ciblez les services : sur une investigation, --services limite le scan aux services concernés

À retenir

1. Prowler scanne 10+ providers cloud avec des centaines de contrôles de sécurité prêts à l'emploi
2. 40+ frameworks de conformité : CIS, NIST, PCI-DSS, SOC2, HIPAA, GDPR, ISO 27001...
3. Installation simple : pip install prowler et c'est prêt, utilise vos credentials existants
4. Commande de base : prowler aws pour un scan complet, --compliance cis_2.0_aws pour un framework spécifique
5. Rapports exploitables : CSV, JSON, HTML avec recommandations de remédiation
6. Kubernetes aussi : auditez vos clusters avec les benchmarks CIS Kubernetes
7. CI/CD ready : GitHub Actions, GitLab CI avec l'image Docker officielle

Prochaines étapes

Trivy : scanner de vulnérabilités Scannez vos images conteneurs et votre code IaC

Checkov : audit IaC Analysez vos fichiers Terraform, CloudFormation, Kubernetes

Supply Chain Security Sécurisez votre chaîne d'approvisionnement logicielle

Kubernetes Security Bonnes pratiques de sécurité pour vos clusters

Ressources

• Site officiel : prowler.com
• Documentation : docs.prowler.com
• GitHub : github.com/prowler-cloud/prowler
• Prowler Hub : hub.prowler.com - Catalogue des checks et frameworks

Questions fréquentes

Les questions ci-dessous reprennent les points qui reviennent le plus souvent au moment d'adopter Prowler : périmètre réel de l'outil, différence avec un scanner de vulnérabilités, et coût d'un scan sur un gros compte.

Qu'est-ce que Prowler et à quoi sert-il ?

Prowler est un outil open source de CSPM (Cloud Security Posture Management) qui audite automatiquement la sécurité de vos environnements AWS, Azure, GCP et Kubernetes. Il vérifie la conformité aux standards CIS, NIST, PCI-DSS, SOC2 et génère des rapports détaillés.

Quelle est la différence entre Prowler et Trivy ?

Prowler audite la configuration cloud (posture de sécurité, conformité CIS/NIST) tandis que Trivy scanne les vulnérabilités dans les images conteneurs, le code IaC et les secrets. Prowler vérifie 'comment est configuré votre cloud', Trivy vérifie 'quelles vulnérabilités contient votre code'.

Comment installer Prowler ?

Installez Prowler avec pip (pip install prowler) ou Docker (docker pull toniblyx/prowler:stable). Nécessite Python 3.9+ pour pip. Vérifiez l'installation avec prowler -v qui doit afficher la version (ex: Prowler 5.17.0).

Comment scanner un compte AWS avec Prowler ?

Lancez prowler aws pour un scan complet de toutes les régions. Utilisez -f eu-west-1 pour cibler une région, --services s3 iam pour des services spécifiques, ou --compliance cis_2.0_aws pour vérifier la conformité à un framework. Les rapports sont générés en CSV, JSON et HTML.

Comment scanner un cluster Kubernetes avec Prowler ?

Utilisez prowler kubernetes pour scanner votre cluster. Prowler utilise votre kubeconfig par défaut (~/.kube/config). Pour un scan CIS Kubernetes, ajoutez --compliance cis_1.12_kubernetes. Vous pouvez cibler des namespaces spécifiques avec --namespaces.

Quels frameworks de conformité Prowler supporte-t-il ?

Prowler supporte 40+ frameworks pour AWS, 16 pour Azure, 14 pour GCP et 7 pour Kubernetes. Les principaux sont CIS Benchmarks, NIST 800-53, PCI-DSS v4.0, SOC2, HIPAA, GDPR, ISO 27001, FedRAMP et MITRE ATT&CK. Listez-les avec prowler <provider> --list-compliance.

Comment intégrer Prowler dans une pipeline CI/CD ?

Utilisez l'action GitHub prowler-cloud/prowler-action@v2 ou l'image Docker toniblyx/prowler:stable pour GitLab CI. Configurez les credentials AWS/Azure/GCP comme secrets, spécifiez le provider et le framework de compliance, puis uploadez les rapports comme artifacts.

Quelles permissions AWS sont nécessaires pour Prowler ?

Pour un scan complet, utilisez la policy managée SecurityAudit d'AWS qui donne des permissions en lecture seule sur la plupart des services. Pour des permissions minimales, consultez la documentation Prowler qui liste les permissions par service scanné.

×

📖 Voir la documentation →