mcpField
I
iac-security-review

iac-security-review

github.com/owasp安全208163 次安装2 周前更新
代码仓库

关于 iac-security-review

IaC Security Review 是一项基础设施即代码安全审查技能，面向 Terraform/OpenTofu、Kubernetes、CloudFormation 和 Helm 配置。它按安全领域检查风险，并按严重性输出发现、修复示例和改进建议。

主要功能

  1. 01识别 IaC 技术类型
  2. 02按安全领域系统检查配置
  3. 03参考 CIS 基准和平台指南
  4. 04按严重性整理发现并提供修复示例
  5. 05汇总严重性并提出安全改进

适用场景

  1. 01审查 Terraform 或 OpenTofu 配置
  2. 02检查 Kubernetes 清单或 Helm chart
  3. 03评估 CloudFormation 模板中的安全风险

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/owasp/secure-agent-playbook --skill iac-security-review

安装后在 Claude Code 中输入/iac-security-review确认已加载。

详细介绍

IaC 安全审查

按照 plays/iac-security-review.md 中的完整流程，审查基础设施即代码中的安全风险。

步骤

  1. 检测 IaC 类型 — 根据文件扩展名和内容识别基础设施技术：

    • .tf / .tofu 文件 → Terraform/OpenTofu（参考 data/secure-code-prompts/terraform.md）
    • Kubernetes 清单（apiVersion、kind: Deployment/Pod/Service）→ Kubernetes（参考 data/secure-code-prompts/kubernetes.md）
    • CloudFormation 模板（AWSTemplateFormatVersion、包含 AWS:: 的 Resources）→ CloudFormation（参考 data/secure-code-prompts/cloudformation.md）
    • Helm chart（Chart.yaml、templates/）→ 按 Kubernetes 进行审查，并检查 Helm 特有问题

  2. 按安全领域系统审查（按优先级排序）：

    • 身份与访问管理 — 权限过宽的策略、通配符权限、硬编码凭据、权限提升路径
    • 机密管理 — 硬编码机密、明文凭据、缺少与保管库/机密管理器的集成
    • 网络安全 — 开放的入站流量（0.0.0.0/0）、不受限制的端口、缺少网络隔离、公开暴露
    • 加密 — 缺少静态或传输中加密、弱算法、默认密钥
    • 存储安全 — 公开存储桶、未加密卷、缺少版本控制
    • 日志记录与监控 — 缺少审计跟踪、禁用 CloudTrail/审计日志
    • 资源暴露 — 数据库、管理界面、API 暴露到互联网
    • 供应链 — 未固定版本、不可信来源、未经验证的模块/镜像
    • 平台特定风险 — Terraform 状态暴露、K8s 特权容器、CFN 嵌套堆栈完整性

  3. 对照基准检查 — 验证配置是否符合：

    • CIS 基准（AWS/Azure/GCP/Kubernetes）
    • 云服务提供商的安全最佳实践
    • Pod 安全标准（适用于 Kubernetes）

  4. 生成发现项 — 对每项发现：引用资源路径、解释配置错误、描述攻击场景、提供修复后的代码示例，并评定严重性。

输出

按严重性排序的发现项，采用 templates/finding.md 格式；包含严重性数量统计的摘要，以及安全配置改进部分。

参考资料

  • CIS 基准（AWS、Azure、GCP、Kubernetes）
  • OWASP 基础设施安全备忘单
  • NSA/CISA Kubernetes 加固指南
  • 云服务提供商的 Well-Architected 框架

评论

支持 Markdown