terrascan

⚠️ مؤرشف

• لم يعد هذا المشروع محتفظًا به. المستودع مؤرشف ولن يتم قبول أي تحديثات أو مشكلات أو طلبات سحب جديدة.
• لا تتردد في عمل fork إذا كنت ترغب في مواصلة التطوير.

مقدمة

Terrascan هو محلل كود ثابت للبنية التحتية ككود (Infrastructure as Code). يتيح لك Terrascan:

• فحص البنية التحتية ككود بشكل سلس بحثًا عن التهيئات الخاطئة.
• مراقبة البنية التحتية السحابية المُزوّدة بحثًا عن تغييرات التهيئة التي تؤدي إلى انحراف الوضع الأمني، وتمكين العودة إلى وضع أمني آمن.
• اكتشاف الثغرات الأمنية وانتهاكات الامتثال.
• تخفيف المخاطر قبل توفير البنية التحتية السحابية الأصلية.
• يوفر مرونة للتشغيل محليًا أو التكامل مع خط أنابيب CI/CD الخاص بك.

الموارد

• لتجربة Terrascan في متصفحك، راجع صندوق Terrascan الرملي https://www.tenable.com/terrascan

• لمعرفة المزيد عن ميزات وإمكانيات Terrascan، راجع بوابة التوثيق: https://runterrascan.io

انضم إلى مجتمع Tenable 👇

الميزات الرئيسية

• 500+ سياسة لأفضل ممارسات الأمان
• فحص Terraform (HCL2)
• فحص قوالب AWS CloudFormation (CFT)
• • فحص Azure Resource Manager (ARM)
• فحص Kubernetes (JSON/YAML)، و Helm v3، و Kustomize
• فحص Dockerfiles
• دعم AWS، و Azure، و GCP، و Kubernetes، و Dockerfile، و GitHub
• يتكامل مع فحص ثغرات صور Docker لسجلات حاويات AWS و Azure و GCP و Harbor.

بداية سريعة

1. تثبيت
2. فحص
3. دمج

الخطوة 1: تثبيت

يدعم Terrascan طرقًا متعددة للتثبيت وهو متاح أيضًا كصورة Docker. راجع صفحة الإصدارات الخاصة بـ Terrascan للحصول على أحدث إصدار من البِنى على جميع المنصات المدعومة. حدد الملف الثنائي الصحيح لمنصتك.

تثبيت كملف تنفيذي أصلي

  curl -L "$(curl -s https://api.github.com/repos/tenable/terrascan/releases/latest | grep -o -E "https://.+?_Linux_x86_64.tar.gz")" > terrascan.tar.gz
  tar -xf terrascan.tar.gz terrascan && rm terrascan.tar.gz
  sudo install terrascan /usr/local/bin && rm terrascan
  terrascan

تثبيت على ArchLinux / Manjaro عبر AUR

يمكن لمستخدمي ArchLinux و Manjaro التثبيت عن طريق:

yay -S terrascan

تثبيت عبر brew

يمكن لمستخدمي Homebrew التثبيت عن طريق:

$ brew install terrascan

صورة Docker

Terrascan متاح أيضًا كصورة Docker ويمكن استخدامه كالتالي

$ docker run tenable/terrascan

ارجع إلى التوثيق للحصول على المعلومات.

الخطوة 2: فحص

لفحص الكود الخاص بك بحثًا عن مشكلات أمنية، يمكنك تشغيل الأمر التالي (الافتراضي هو فحص Terraform).

$ terrascan scan

ملاحظة: سيخرج Terrascan برمز خطأ إذا تم العثور على أي أخطاء أو انتهاكات أثناء الفحص.

قائمة رموز الخروج الممكنة

السيناريو	رمز الخروج
ملخص الفحص يحتوي على أخطاء وانتهاكات	5
ملخص الفحص يحتوي على أخطاء ولكن لا توجد انتهاكات	4
ملخص الفحص يحتوي على انتهاكات ولكن لا توجد أخطاء	3
ملخص الفحص لا يحتوي على انتهاكات أو أخطاء	0
أمر الفحص يفشل بسبب مدخلات غير صالحة	1

الخطوة 3: التكامل مع CI/CD

يمكن دمج Terrascan في خطوط أنابيب CI/CD لفرض أفضل ممارسات الأمان. يرجى الرجوع إلى التوثيق للتكامل مع خط الأنابيب الخاص بك.

أوامر Terrascan

يمكنك استخدام الأمر terrascan مع الخيارات التالية:

$ terrascan
Terrascan

Usage:
  terrascan [command]

Available Commands:
  help        Help about any command
  init        Initialize Terrascan
  scan        Detect compliance and security violations across Infrastructure as Code.
  server      Run Terrascan as an API server
  version     Terrascan version

Flags:
  -c, --config-path string   config file path
  -h, --help                 help for terrascan
  -l, --log-level string     log level (debug, info, warn, error, panic, fatal) (default "info")
  -x, --log-type string      log output type (console, json) (default "console")
  -o, --output string        output type (human, json, yaml, xml) (default "human")

Use "terrascan [command] --help" for more information about a command.

السياسات

تُكتب سياسات Terrascan باستخدام لغة سياسة Rego. يتضمن كل rego ملف "rule" بتنسيق JSON يحدد بيانات وصفية للسياسة. بشكل افتراضي، يقوم Terrascan بتنزيل السياسات من مستودعات Terrascan أثناء الفحص لأول مرة. ومع ذلك، إذا كنت ترغب في تنزيل أحدث السياسات، فستحتاج إلى تشغيل عملية التهيئة. راجع الاستخدام للحصول على معلومات حول عملية التهيئة.

ملاحظة: سيقوم أمر الفحص بتشغيل عملية التهيئة ضمنيًا إذا لم يتم العثور على سياسات.

ثغرات صور Docker

يمكنك استخدام العلامة --find-vuln لجمع الثغرات كما وردت في سجلها كجزء من مخرجات Terrascan. يدعم Terrascan حاليًا Elastic Container Registry (ECR)، و Azure Container Registry، و Google Container Registry، و Google Artifact Registry.

يمكن استخدام العلامة --find-vuln عند فحص ملفات IaC كالتالي:

$ terrascan scan -i <IaC provider> --find-vuln

لمزيد من المعلومات وشرح حول كيفية إعداد بيئتك للمصادقة مع واجهات برمجة تطبيقات السجل، راجع توثيق الاستخدام.

تخصيص عمليات الفحص

بشكل افتراضي، يقوم Terrascan بفحص التكوين بالكامل مقابل جميع السياسات. ومع ذلك، يدعم Terrascan التكوين التفصيلي للسياسات والموارد.

اقرأ المزيد عن الأدوات داخل الملف و ملف التكوين على موقع التوثيق الخاص بنا.

الآن، بعض النصائح السريعة: