Auditoria de Infraestrutura Terraform para Segurança

Quando Usar

• Ao integrar a verificação de segurança em pipelines CI/CD para implantações Terraform
• Ao revisar planos e módulos Terraform para melhores práticas de segurança antes de aplicar
• Ao construir salvaguardas de política como código para provisionamento de infraestrutura em nuvem
• Ao auditar arquivos de estado Terraform existentes para identificar configurações incorretas implantadas
• Ao impor padrões de segurança organizacional em múltiplos projetos Terraform

Não use para monitoramento de segurança em tempo de execução (use ferramentas CSPM), para testes de segurança de aplicativos (use ferramentas SAST/DAST) ou para detecção de desvio de configuração em nuvem (use AWS Config ou Azure Policy após a implantação).

Pré-requisitos

• Checkov instalado (pip install checkov)
• tfsec instalado (brew install tfsec ou binário do GitHub)
• Terrascan instalado (brew install terrascan)
• Terraform v1.0+ para geração de planos
• OPA (Open Policy Agent) para imposição de políticas personalizadas
• Repositório Git com código Terraform para auditar

Fluxo de Trabalho

Etapa 1: Escanear Código Terraform com Checkov

Execute o Checkov para verificação de segurança abrangente de IaC com políticas integradas e personalizadas.

# Scan a Terraform directory
checkov -d ./terraform/ --framework terraform

# Scan with specific check categories
checkov -d ./terraform/ --check CKV_AWS_18,CKV_AWS_19,CKV_AWS_20,CKV_AWS_21

# Scan and output results in JSON
checkov -d ./terraform/ --output json > checkov-results.json

# Scan a Terraform plan file for more accurate analysis
terraform init && terraform plan -out=tfplan
terraform show -json tfplan > tfplan.json
checkov -f tfplan.json --framework terraform_plan

# Skip specific checks with justification
checkov -d ./terraform/ --skip-check CKV_AWS_145 \
  --bc-api-key $BRIDGECREW_API_KEY

# Scan Terraform modules
checkov -d ./modules/ --framework terraform --compact

# List all available checks
checkov --list --framework terraform | grep CKV_AWS

Etapa 2: Escanear com tfsec para Problemas Específicos do Terraform

Use o tfsec para análise de segurança nativa do Terraform com orientação detalhada de remediação.

# Scan a Terraform directory
tfsec ./terraform/

# Scan with minimum severity threshold
tfsec ./terraform/ --minimum-severity HIGH

# Output in JSON for CI/CD processing
tfsec ./terraform/ --format json > tfsec-results.json

# Scan with custom checks
tfsec ./terraform/ --custom-check-dir ./custom-checks/

# Exclude specific rules
tfsec ./terraform/ --exclude-downloaded-modules \
  --exclude aws-s3-enable-bucket-logging

# Scan and fail on specific severity
tfsec ./terraform/ --minimum-severity CRITICAL --soft-fail

# Generate SARIF output for GitHub Security tab
tfsec ./terraform/ --format sarif > tfsec.sarif

Etapa 3: Executar Terrascan para Conformidade Multi-Framework

Execute o Terrascan para verificação de conformidade com os frameworks CIS, NIST e SOC 2.

# Scan Terraform against CIS AWS benchmark
terrascan scan -t aws -i terraform -d ./terraform/ \
  --policy-type aws --verbose

# Scan against specific compliance frameworks
terrascan scan -t aws -i terraform -d ./terraform/ \
  --policy-type aws \
  --categories "Compliance Validation"

# Output in JSON
terrascan scan -t aws -i terraform -d ./terraform/ \
  --output json > terrascan-results.json

# Scan a Terraform plan
terrascan scan -t aws -i terraform \
  --iac-file tfplan.json \
  --iac-type tfplan

# List available policies
terrascan scan --list-policies -t aws

Etapa 4: Criar Políticas OPA Personalizadas para Padrões Organizacionais

Escreva políticas Rego para requisitos de segurança específicos da organização.

# policy/aws_s3_encryption.rego
package terraform.aws.s3

deny[msg] {
    resource := input.resource.aws_s3_bucket[name]
    not resource.server_side_encryption_configuration
    msg := sprintf("O bucket S3 '%s' deve ter criptografia do lado do servidor habilitada", [name])
}

# policy/aws_iam_no_wildcards.rego
package terraform.aws.iam

deny[msg] {
    resource := input.resource.aws_iam_policy[name]
    statement := resource.policy.Statement[_]
    statement.Action == "*"
    statement.Effect == "Allow"
    msg := sprintf("A política IAM '%s' não deve usar ações curinga (*)", [name])
}

deny[msg] {
    resource := input.resource.aws_iam_policy[name]
    statement := resource.policy.Statement[_]
    statement.Resource == "*"
    statement.Effect == "Allow"
    contains(statement.Action[_], "*")
    msg := sprintf("A política IAM '%s' tem ações excessivamente permissivas em recursos curinga", [name])
}


…