iac-security-review

IaC セキュリティレビュー

plays/iac-security-review.md の手順全体に従って、Infrastructure as Code のセキュリティリスクをレビューします。

手順

1. IaC の種類を検出する — ファイルの拡張子と内容から、インフラストラクチャ技術を特定します。

   • .tf / .tofu ファイル → Terraform/OpenTofu（data/secure-code-prompts/terraform.md を参照）
   • Kubernetes マニフェスト（apiVersion、kind: Deployment/Pod/Service） → Kubernetes（data/secure-code-prompts/kubernetes.md を参照）
   • CloudFormation テンプレート（AWSTemplateFormatVersion、AWS:: を含む Resources） → CloudFormation（data/secure-code-prompts/cloudformation.md を参照）
   • Helm チャート（Chart.yaml、templates/） → Helm 固有のチェックを含む Kubernetes のレビュー

2. セキュリティドメインごとに体系的にレビューする（優先順位順）

   • ID とアクセス管理 — 過度に許可範囲の広いポリシー、ワイルドカード権限、ハードコードされた認証情報、権限昇格につながる経路
   • シークレット管理 — ハードコードされたシークレット、平文の認証情報、Vault／シークレットマネージャーとの連携不足
   • ネットワークセキュリティ — 開放されたインバウンド（0.0.0.0/0）、制限のないポート、セグメンテーション不足、パブリックへの公開
   • 暗号化 — 保存時／転送時の暗号化不足、脆弱なアルゴリズム、デフォルトキー
   • ストレージセキュリティ — パブリックバケット、暗号化されていないボリューム、バージョニングの不足
   • ログ記録と監視 — 監査証跡の不足、CloudTrail／監査ログの無効化
   • リソースの公開 — データベース、管理インターフェース、API のインターネットへの公開
   • サプライチェーン — バージョンの未固定、信頼できないソース、検証されていないモジュール／イメージ
   • プラットフォーム固有のリスク — Terraform のステートの露出、K8s の特権コンテナ、CFN のネストされたスタックの整合性

3. ベンチマークに照らして確認する — 次の基準に照らして設定を検証します。

   • CIS ベンチマーク（AWS/Azure/GCP/Kubernetes）
   • クラウドプロバイダーのセキュリティに関するベストプラクティス
   • Pod Security Standards（Kubernetes の場合）

4. 指摘事項を作成する — 各指摘事項に、リソースパス、設定ミスの説明、攻撃シナリオ、修正後のコード例、深刻度を含めます。

出力

templates/finding.md の形式に従い、深刻度順に並べた指摘事項、深刻度ごとの件数をまとめた概要、および安全な設定への改善セクションを出力します。

参考資料

• CIS ベンチマーク（AWS、Azure、GCP、Kubernetes）
• OWASP Infrastructure Security Cheat Sheet
• NSA/CISA Kubernetes Hardening Guide
• クラウドプロバイダーの Well-Architected Framework