📣 Migration von tfsec zu Trivy

Im Rahmen unseres Ziels, eine umfassende Open-Source-Sicherheitslösung für alle bereitzustellen, bündeln wir alle unsere Scan-bezogenen Bemühungen an einem Ort: Trivy.

Im vergangenen Jahr hat tfsec die Grundlagen für Trivys IaC- und Fehlkonfigurations-Scanfunktionen gelegt, einschließlich des Terraform-Scans, der seit langem nativ in Trivy unterstützt wird.

Künftig möchten wir die tfsec-Community dazu ermutigen, auf Trivy umzusteigen. Der Wechsel zu Trivy bietet Ihnen dieselbe hervorragende Terraform-Scan-Engine mit einigen zusätzlichen Vorteilen:

Zugang zu mehr Sprachen und Funktionen im selben Werkzeug.
Zugang zu mehr Integrationen mit Werkzeugen und Diensten durch das umfangreiche Ökosystem rund um Trivy.
Kommerziell unterstützt von Aqua sowie von der leidenschaftlichen Trivy-Community. tfsec wird vorerst weiterhin verfügbar sein, auch wenn sich unsere technische Aufmerksamkeit künftig auf Trivy richten wird.

Migrationsleitfaden von tfsec zu Trivy

Weitere Informationen darüber, wie Trivy im Vergleich zu tfsec abschneidet und wie der Wechsel von tfsec zu Trivy gelingt, finden Sie im Migrationsleitfaden.

Übersicht

tfsec verwendet statische Analyse Ihres Terraform-Codes, um potenzielle Fehlkonfigurationen zu erkennen.

Funktionen

☁️ Prüft auf Fehlkonfigurationen bei allen großen (und einigen kleineren) Cloud-Anbietern
⛔ Hunderte integrierter Regeln
🪆 Scannt Module (lokal und entfernt)
➕ Wertet HCL-Ausdrücke sowie literale Werte aus
↪️ Wertet Terraform-Funktionen aus, z. B. concat()
🔗 Wertet Beziehungen zwischen Terraform-Ressourcen aus
🧰 Kompatibel mit dem Terraform CDK
🙅 Wendet benutzerdefinierte Rego-Richtlinien an (und erweitert sie)
📃 Unterstützt mehrere Ausgabeformate: lovely (Standard), JSON, SARIF, CSV, CheckStyle, JUnit, text, Gif.
🛠️ Konfigurierbar (über CLI-Flags und/oder Konfigurationsdatei)
⚡ Sehr schnell und in der Lage, riesige Repositorys schnell zu scannen
🔌 Plugins für gängige IDEs verfügbar (JetBrains, VSCode und Vim)
🏡 Community-getrieben – komm und chatte mit uns auf Slack!

Von Thoughtworks empfohlen

Bewertet als Adopt vom Thoughtworks Tech Radar:

Für unsere Projekte mit Terraform ist tfsec schnell zum Standardtool für statische Analysen geworden, um potenzielle Sicherheitsrisiken zu erkennen. Es lässt sich einfach in eine CI-Pipeline integrieren und verfügt über eine wachsende Bibliothek von Prüfungen für alle großen Cloud-Anbieter und Plattformen wie Kubernetes. Angesichts der Benutzerfreundlichkeit glauben wir, dass tfsec eine gute Ergänzung für jedes Terraform-Projekt sein könnte.

Beispielausgabe

Beispiel-Screenshot

Installation

Installieren mit brew/linuxbrew

brew install tfsec

Installieren mit Chocolatey

choco install tfsec

Installieren mit Scoop

scoop install tfsec

Bash-Skript (Linux):

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

Sie können das Binärpaket für Ihr System auch von der Releases-Seite herunterladen.

Alternativ mit Go installieren:

go install github.com/aquasecurity/tfsec/cmd/tfsec@latest

Bitte beachten Sie, dass die Installation mit go install direkt vom master-Zweig erfolgt und Versionsnummern nicht über tfsec --version angezeigt werden.

Signieren

Die Binärdateien auf der Releases-Seite sind mit dem tfsec-Signaturschlüssel D66B222A3EA4C25D5D1A097FC34ACEFB46EC39CE signiert

Weitere Informationen finden Sie auf der Signaturseite mit Anweisungen zur Überprüfung.

Verwendung

tfsec scannt das angegebene Verzeichnis. Wenn kein Verzeichnis angegeben ist, wird das aktuelle Arbeitsverzeichnis verwendet.

Der Exit-Status ist ungleich Null, wenn tfsec Probleme findet, andernfalls ist der Exit-Status Null.

tfsec .

Verwendung mit Docker

Als Alternative zur Installation und Ausführung von tfsec auf Ihrem System können Sie tfsec in einem Docker-Container ausführen.

Es stehen mehrere Docker-Optionen zur Verfügung

Image-Name	Basis	Kommentar
aquasec/tfsec	alpine	Normales tfsec-Image
aquasec/tfsec-alpine	alpine	Genau dasselbe wie aquasec/tfsec, aber für diejenigen, die es explizit mögen
aquasec/tfsec-ci	alpine	tfsec ohne Entrypoint – nützlich für CI-Builds, bei denen Sie den Befehl überschreiben möchten
aquasec/tfsec-scratch	scratch	Ein auf Scratch basierendes Image – nichts Verziertes, führt einfach tfsec aus

Ausführen:

docker run --rm -it -v "$(pwd):/src" aquasec/tfsec /src

Verwendung mit Visual Studio Code

Eine Visual-Studio-Code-Erweiterung wird entwickelt, um in tfsec-Ergebnisse zu integrieren. Weitere Informationen finden Sie auf der tfsec-Marketplace-Seite

Verwendung als GitHub Action

Wenn Sie tfsec als GitHub Action in Ihrem Repository ausführen möchten, können Sie https://github.com/aquasecurity/tfsec-pr-commenter-action verwenden.

Verwendung als Azure-DevOps-Pipelines-Task

Sie können jetzt die offizielle tfsec-Task installieren. Bitte reichen Sie Probleme/Feature-Anfragen im Task-Repository ein.

tfsec

Beliebteste