AppSECT.A.

🛠 Terrascan IaC policy для конфигураций

Инструмент анализирует шаблоны инфраструктуры как кода (IaC) и проверяет их на соответствие встроенным политикам безопасности. Сканирует конфиги HCL, YAML и JSON, на предмет ошибок, недостаток архитектуры, нарушений практик и проблем с соответствием требованиям.

Основной маппинг на CIS Benchmarks, NIST, SOC2, GDPR, HIPAA из коробки.

Метаданные: Apache 2.0. Форматы отчетов: CLI, JSON, YAML, XML, JUnit-xml, SARIF. Поддерживает Terraform, Kubernetes, Helm, Dockerfile, CloudFormation и т.д. Содержит предопределенные политики для провайдеров: AWS, Azure, GCP, Kubernetes и Docker. Политики написаны на Rego (Open Policy Agent), что позволяет создавать собственные правила.


# Сканирование текущей директории с автоопределением типа IaC
terrascan scan
 
# Сканирование с указанием типа IaC и облачного провайдера
terrascan scan -i terraform -t aws
 
# Вывод результатов в формате JSON
terrascan scan -o json
 
# Фильтрация по severity
terrascan scan --severity "High"
 
#Dockerfile
terrascan scan -i docker
 
# Отображение уязвимостей в образах, упомянутых в IaC-файлах
terrascan scan -i terraform --find-vuln

Типовые находки



# root пользователь
FROM node:18
COPY . /app
RUN npm install
CMD ["node", "server.js"]

# ADD на extrnl URL
ADD https://example.com/script.sh /tmp/

Кастомная политика для обазов без явного тега версий



# policy/no_latest_tag.rego
package accurics.docker.image.latest

deny[msg] {
  input.type == "dockerfile"
  instruction := input.instructions[_]
  instruction.cmd == "from"
  contains(instruction.value, ":latest")
  msg := sprintf("Image uses ':latest' tag: %v", [instruction.value])
}

CI/CD интеграция



terrascan:
  image: tenable/terrascan:latest
  stage: security
  script:
    - terrascan scan -t terraform -d ./infra -o sarif > terrascan.sarif
    - terrascan scan -t docker -f Dockerfile -o json > docker.json
  artifacts:
    reports:
      sast: terrascan.sarif
  allow_failure: false       # блокируем pipeline при HIGH/CRITICAL

pre-commit hook



# .git/hooks/pre-commit
#!/bin/bash
terrascan scan -t terraform -d . --severity HIGH --exit-code 1
if [ $? -ne 0 ]; then
  echo "BLOCKED: Terrascan found HIGH/CRITICAL violations"
  exit 1
fi

Итого:

• Единый IaC для Terraform, Kubernetes и Helm из коробки
• Возможность написания кастомных правил на Rego для внутренних требований
• Инструмент анализирует код до его развертывания и не отслеживает runtime-угрозы в работающей инфраструктуре. Параметризованные ресурсы проверяются по тому значению, что видно в конфиге
• Подходит больше для кластеров Kubernetes и связанных с ними технологий
• Можно указывать, какие правила игнорировать (--skip-rules)
• Позволяет настраивать критерии QG исходя их severity

#appsec #toolchain #devsecops #sast #techsolution

🔥8😱1

301 viewsedited 15:04