go install github.com/Adversis/tailsnitch@latest

git clone https://github.com/Adversis/tailsnitch.git
cd tailsnitch
go build -o tailsnitch .

export TS_OAUTH_CLIENT_ID="..."
export TS_OAUTH_CLIENT_SECRET="tskey-client-..."

export TS_API_KEY="tskey-api-..."

# Ejecuta auditoría completa
tailsnitch

# Muestra también las comprobaciones que pasan (verbose)
tailsnitch --verbose

# Salida como JSON para procesamiento
tailsnitch --json

# Audita un tailnet específico (cuando el cliente OAuth tiene acceso a varios)
tailsnitch --tailnet mycompany.com

# Solo muestra problemas críticos y de severidad alta
tailsnitch --severity high

# Filtrar por categoría
tailsnitch --category access    # Problemas de ACL
tailsnitch --category auth      # Autenticación y claves
tailsnitch --category device    # Seguridad de dispositivos
tailsnitch --category network   # Exposición de red
tailsnitch --category ssh       # Reglas SSH
tailsnitch --category log       # Registro y administración

# Ejecutar solo comprobaciones específicas
tailsnitch --checks ACL-001,AUTH-001,DEV-010
tailsnitch --checks stale-devices,tailnet-lock-not-enabled

# Listar todas las comprobaciones disponibles
tailsnitch --list-checks

# Modo de corrección interactivo
tailsnitch --fix

# Vista previa de lo que se corregiría (ejecución en seco)
tailsnitch --fix --dry-run

# Auto-seleccionar correcciones seguras (aún requiere confirmación)
tailsnitch --fix --auto

# Deshabilitar el registro de auditoría de las acciones de corrección
tailsnitch --fix --no-audit-log

# Exportar como JSON
tailsnitch --soc2 json > soc2-evidence.json

# Exportar como CSV (para hojas de cálculo)
tailsnitch --soc2 csv > soc2-evidence.csv

resource_type,resource_id,resource_name,check_id,check_title,cc_codes,status,details,tested_at
device,node123,prod-server,DEV-001,Tagged devices with key expiry disabled,CC6.1;CC6.3,PASS,Tags: [tag:server] key expiry enabled,2025-01-05T10:30:00Z
key,tskey-auth-xxx,tskey-auth-xxx,AUTH-001,Reusable auth keys exist,CC6.1;CC6.2;CC6.3,FAIL,Reusable key expires in 45 days,2025-01-05T10:30:00Z

# .tailsnitch-ignore
# Ignorar comprobaciones informativas
ACL-008  # Intencionalmente no usamos grupos
ACL-009  # Las ACL heredadas están bien para nuestro caso de uso

# Ignorar comprobaciones específicas de severidad media con justificación
DEV-006  # Los dispositivos externos son contratistas aprobados
LOG-001  # Los registros de flujo requieren el plan Enterprise

# Ignorar un elemento dentro de una comprobación, en lugar de silenciar toda la comprobación
ACL-011:tag:monitoring  # amplio por diseño; cada otra etiqueta aún se comprueba
AUTH-001:tskey-auth-xxxx  # rota automáticamente vía CI, rastreado en TICKET-123

# Usar un archivo de ignorados específico
tailsnitch --ignore-file /path/to/ignore

# Deshabilitar el procesamiento del archivo de ignorados por completo
tailsnitch --no-ignore

# Exportar informe completo
tailsnitch --json > audit.json

# Extraer comprobaciones reprobadas como TSV
tailsnitch --json | jq -r '
  .suggestions
  | map(select(.pass == false))
  | .[]
  | [.id, .title, .severity, .remediation]
  | @tsv
' > findings.tsv

# Resumen por severidad
tailsnitch --json | jq '
  .suggestions
  | map(select(.pass == false))
  | group_by(.severity)
  | map({severity: .[0].severity, count: length})
'

# Listar problemas críticos/altos con enlaces de administración
tailsnitch --json | jq -r '
  .suggestions
  | map(select(.pass == false and (.severity == "CRITICAL" or .severity == "HIGH")))
  | .[]
  | "\(.id): \(.title)\n  Fix: \(.fix.admin_url // "manual")\n"
'

+=====================================================================+
|                    TAILSNITCH SECURITY AUDIT                        |
|            Tailnet: example.com                                     |
|            Version: 1.0.0 (build: abc123)                           |
+=====================================================================+

  Usando archivo de ignorados: .tailsnitch-ignore (3 reglas)

=== CONTROLES DE ACCESO ===============================================

[CRITICAL] ACL-001: Política 'permitir todo' predeterminada activa
  Tu política ACL omite el campo 'acls'. Tailscale aplica una
  política 'permitir todo' predeterminada, otorgando a todos los dispositivos acceso completo.

  Remediación:
  Define reglas ACL explícitas siguiendo el principio de privilegio mínimo.

  Fuente: https://tailscale.com/docs/reference/examples/acls
----------------------------------------------------------------------

=== AUTENTICACIÓN Y CLAVES ============================================

[HIGH] AUTH-001: Existen claves de autenticación reutilizables
  Se encontraron 2 claves de autenticación reutilizables. Pueden reutilizarse para agregar
  múltiples dispositivos si se ven comprometidas.

  Detalles:
    - Clave tskey-auth-xxx (expira en 45 días)
    - Clave tskey-auth-yyy (expira en 89 días)

  Remediación:
  Almacena las claves reutilizables en un administrador de secretos. Prefiere claves de un solo uso.

  Fuente: https://tailscale.com/docs/features/access-control/auth-keys
----------------------------------------------------------------------

RESUMEN
======================================================================
  Críticas: 1  Altas: 3  Medias: 5  Bajas: 2  Info: 8
  Total de hallazgos: 19  |  Aprobados: 33

# Especificar ruta personalizada del binario de tailscale si es necesario
tailsnitch --tailscale-path /opt/tailscale/bin/tailscale

# Ejemplo de GitHub Actions
- name: Auditar Seguridad de Tailscale
  env:
    TS_OAUTH_CLIENT_ID: ${{ secrets.TS_OAUTH_CLIENT_ID }}
    TS_OAUTH_CLIENT_SECRET: ${{ secrets.TS_OAUTH_CLIENT_SECRET }}
  run: |
    tailsnitch --json > audit.json
    # Fallar si existen problemas de severidad crítica o alta
    if tailsnitch --severity high --json | jq -e '.summary.critical + .summary.high > 0' > /dev/null; then
      echo "¡Se encontraron problemas de severidad crítica o alta!"
      tailsnitch --severity high
      exit 1
    fi