Prowler : l’outil open-source de posture sécurité multi-cloud

Prowler est un outil CLI open-source de Cloud Security Posture Management (CSPM) qui audite vos environnements AWS, Azure, GCP et Kubernetes au regard des bonnes pratiques et de nombreux cadres de conformité (CIS, NIST 800-53/CSF, PCI-DSS, ISO 27001, SOC 2, AWS FSBP, etc.). Il existe en version CLI (Prowler Open Source) et en application web/API auto-hébergeable (“Prowler App”) ou managée (“Prowler Cloud”) pour centraliser les scans et les rapports.

À quoi sert Prowler ?

Audit de configuration (sécurité & conformité) sur AWS/Azure/GCP/Kubernetes.
Cartographie par standards : CIS, NIST, PCI-DSS, ISO 27001, SOC 2, AWS Foundational Security Best Practices (FSBP), etc.
Intégration AWS Security Hub (import direct des constats, option d’envoyer uniquement les échecs pour maîtriser les coûts).
Multi-comptes / multi-régions (assume-role, AWS Organizations).
Rapports en CSV/JSON/HTML/JSON-ASFF (OCSF), tableau de bord local et Prowler Hub pour parcourir les contrôles.

Installation rapide

Option 1 — Python/pip(x)

# Recommandé : isolation via pipx
pipx install prowler-cloud
# ou
pip install prowler-cloud

Le paquet prowler-cloud fournit la CLI multi-cloud actuelle.

Option 2 — Docker/Podman

docker run --rm -it \
  -v $HOME/.aws:/root/.aws \
  -v $PWD/output:/output \
  ghcr.io/prowler-cloud/prowler:latest \
  prowler aws -M csv json

L’image officielle est publiée (GHCR/DockerHub) et embarque la CLI.

Option 3 — Prowler App (UI + API)

# Déploiement via docker compose
curl -LO https://raw.githubusercontent.com/prowler-cloud/prowler/refs/heads/master/docker-compose.yml
curl -LO https://raw.githubusercontent.com/prowler-cloud/prowler/refs/heads/master/.env
docker compose up -d

Cette app ajoute une UI, une API REST et des jobs planifiés.

Démarrage express par cloud

AWS

Configurez vos identités AWS (profil CLI).
Lancez un scan de base, limitez aux régions voulues et choisissez vos formats de sortie :

prowler aws --profile mon-profil \
  -f eu-west-3 eu-west-1 \
  -M csv json html

-f/--filter-region restreint les régions scannées ; Prowler scanne sinon toutes les régions actives par défaut.

Par cadre de conformité :

# Lister les cadres disponibles
prowler aws --list-compliance

# Ex. AWS Foundational Security Best Practices
prowler aws -f eu-west-3 --compliance aws_foundational_security_best_practices_aws

On peut lister checks/services/catégories et sélectionner un ou plusieurs cadres.

Multi-comptes (AWS Organizations) : utilisez assume-role en parallèle sur tous les comptes de l’org. Les docs fournissent un script pour itérer sur les comptes.

Intégrer Security Hub : activez Security Hub et l’intégration “Prowler” dans la/les régions, puis exécutez Prowler pour y pousser les findings (possibilité d’envoyer seulement les FAIL).

Azure

Authentifiez-vous via Service Principal (Client ID / Tenant ID / Secret), puis :

export AZURE_CLIENT_ID=...
export AZURE_TENANT_ID=...
export AZURE_CLIENT_SECRET=...
prowler azure --sp-env-auth -M csv json

Les guides détaillent l’authentification et l’ajout d’abonnements.

GCP

Authentifiez-vous avec Application Default Credentials ou un compte de service :

gcloud auth application-default login
prowler gcp -M csv json

Les docs couvrent l’auth GCP et la gestion des projets.

Lire et exploiter les résultats

Formats : CSV, JSON, JSON-ASFF (compatible import Security Hub), HTML interactif (et un dashboard local pour analyser les CSV).
Prowler Hub : catalogue en ligne des checks et des cadres (utile pour préparer vos audits).
Agrégation multi-comptes : modèle prescriptif AWS pour agréger les résultats Prowler d’une organisation (Excel, visualisations).

Personnaliser son périmètre

Limiter aux services/contrôles :

# Exécuter un sous-ensemble de checks
prowler aws --checks s3_bucket_public_access iam_root_mfa_enabled

# Cibler certains services
prowler aws --services s3 ec2 kms

Mutelist (exclusions justifiées) : fournissez un YAML d’exceptions (faux positifs connus, décisions de risque) :

prowler <provider> -w mutelist.yaml

Intégrations & automation

AWS Security Hub : intégration native, utile pour corréler/visualiser les constats Prowler avec d’autres sources et déclencher remédiations (Custom Actions, Analytics avec Athena/QuickSight).
CI/CD & planification : exécution via CodeBuild, Fargate/ECS, Lambda, GitHub Actions ou cron. Des exemples publics montrent Prowler “serverless” qui pousse dans Security Hub.

Bonnes pratiques d’usage

Commencez petit : ciblez 1–2 régions et un cadre (ex. AWS FSBP), validez le volume et le signal.
Documentez vos exceptions (mutelist) avec une justification et une date de revue.
Automatisez (hebdo/quotidien selon criticité) et suivez les tendances (Security Hub + Athena/QuickSight).
Multi-comptes : déployez un rôle “ProwlerExecRole” homogène et parallélisez les scans.
Complétez par la remédiation (SCP/IaC/ASR) et revérifiez après correctifs.

Exemples prêts à copier

Scan complet AWS (profil + 2 régions) avec rapports CSV/JSON/HTML :

prowler aws --profile sec-audit \
  -f eu-west-3 eu-west-1 \
  -M csv json html \
  -F audit-oct2025

FSBP uniquement + export Security Hub activé côté compte :

prowler aws -f eu-west-3 \
  --compliance aws_foundational_security_best_practices_aws \
  -M json-asff

(Activez au préalable Security Hub et l’intégration “Prowler” dans la région.)

Multi-comptes via AWS Organizations (assume-role en parallèle) : suivez le tutoriel officiel pour lister les comptes actifs et assumer le même rôle “audit” partout.

Limites & points d’attention

Coûts Security Hub : filtrez si besoin pour n’envoyer que les FAIL.
Couverture par régions/services : adaptez --filter-region et surveillez les nouveautés Prowler (de nouveaux checks arrivent régulièrement).
HTML vs Dashboard : Prowler a introduit un dashboard local en complément/alternative du rapport HTML. Choisissez selon vos usages d’analyse/partage.

Ressources utiles

Docs officielles Prowler (Open Source) : vue d’ensemble, sorties, reporting, compliance, AWS/Azure/GCP.
Prowler Hub : catalogue des checks & cadres.
Intégration AWS Security Hub (guides AWS + Prowler).

Conclusion

Que vous soyez SecOps, Admin S&R, MSSP ou auditeur, Prowler offre une base solide, scriptable et extensible pour standardiser vos audits multi-cloud, industrialiser la conformité et accélérer les remédiations. Démarrez par un cadre (FSBP ou CIS), automatisez, reliez à Security Hub, puis affinez avec des mutelists et des checks personnalisés. Vous aurez ainsi une posture sécurité traçable, mesurable et répétable à l’échelle.

Si tu veux, je peux te fournir un makefile ou un workflow GitHub Actions prêt à l’emploi pour lancer Prowler (mono-ou multi-comptes) et publier automatiquement les rapports.

Partagez cet article !