TerraGoat - Infrastructure Terraform vulnérable

TerraGoat est le dépôt Terraform « Vulnerable by Design » de Bridgecrew.

TerraGoat est le dépôt Terraform « Vulnerable by Design » de Bridgecrew. TerraGoat est un projet d'apprentissage et de formation qui montre comment des erreurs de configuration courantes peuvent se retrouver dans des environnements cloud de production.

Introduction

TerraGoat a été conçu pour permettre aux DevSecOps de concevoir et mettre en œuvre une stratégie durable de prévention des mauvaises configurations. Il peut être utilisé pour tester un framework policy-as-code comme Bridgecrew & Checkov, des inline-linters, des hooks de pre-commit ou d'autres méthodes d'analyse de code.

TerraGoat s'inscrit dans la tradition des projets *Goat existants qui fournissent un terrain d'entraînement de base pour pratiquer la mise en œuvre de bonnes pratiques de développement sécurisé pour l'infrastructure cloud.

Notes importantes

Où obtenir de l'aide : le Bridgecrew Community Slack

Avant de continuer, veuillez prendre note de cet avertissement :

⚠️ TerraGoat crée intentionnellement des ressources AWS vulnérables dans votre compte. NE PAS déployer TerraGoat dans un environnement de production ou à côté de ressources AWS sensibles.

Prérequis

Terraform 0.12
aws cli
azure cli

Pour empêcher que des infrastructures vulnérables n'arrivent en production, voir : Bridgecrew & checkov, l'outil open source d'analyse statique pour l'infrastructure en tant que code.

Pour commencer

Configuration AWS

Installation (AWS)

Vous pouvez déployer plusieurs stacks TerraGoat dans un seul compte AWS en utilisant le paramètre TF_VAR_environment.

Créer un backend de bucket S3 pour conserver l'état Terraform```bash

export TERRAGOAT_STATE_BUCKET="mydevsecops-bucket" export TF_VAR_company_name=acme export TF_VAR_environment=mydevsecops export TF_VAR_region="us-west-2"

aws s3api create-bucket --bucket $TERRAGOAT_STATE_BUCKET
--region $TF_VAR_region --create-bucket-configuration LocationConstraint=$TF_VAR_region

Enable versioning

aws s3api put-bucket-versioning --bucket $TERRAGOAT_STATE_BUCKET --versioning-configuration Status=Enabled

Enable encryption

aws s3api put-bucket-encryption --bucket $TERRAGOAT_STATE_BUCKET --server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "aws:kms" } } ] }'

#### Appliquer TerraGoat (AWS)```bash
cd terraform/aws/
terraform init \
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
-backend-config="region=$TF_VAR_region"

terraform apply

Supprimer TerraGoat (AWS)```bash

terraform destroy

#### Création de plusieurs stacks AWS TerraGoat```bash
cd terraform/aws/
export TERRAGOAT_ENV=$TF_VAR_environment
export TERRAGOAT_STACKS_NUM=5
for i in $(seq 1 $TERRAGOAT_STACKS_NUM)
do
    export TF_VAR_environment=$TERRAGOAT_ENV$i
    terraform init \
    -backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
    -backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
    -backend-config="region=$TF_VAR_region"

    terraform apply -auto-approve
done

Supprimer plusieurs TerraGoat stacks (AWS)```bash

cd terraform/aws/ export TF_VAR_environment = $TERRAGOAT_ENV for i in $(seq 1 $TERRAGOAT_STACKS_NUM) do export TF_VAR_environment=$TERRAGOAT_ENV$i terraform init
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET"
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate"
-backend-config="region=$TF_VAR_region"

terraform destroy -auto-approve

done

### Configuration Azure

#### Installation (Azure)

Vous pouvez déployer plusieurs piles TerraGoat dans un seul abonnement Azure en utilisant le paramètre `TF_VAR_environment`.

#### Créer un backend de compte de stockage Azure pour conserver l'état Terraform```bash
export TERRAGOAT_RESOURCE_GROUP="TerraGoatRG"
export TERRAGOAT_STATE_STORAGE_ACCOUNT="mydevsecopssa"
export TERRAGOAT_STATE_CONTAINER="mydevsecops"
export TF_VAR_environment="dev"
export TF_VAR_region="westus"

# Create resource group
az group create --location $TF_VAR_region --name $TERRAGOAT_RESOURCE_GROUP

# Create storage account
az storage account create --name $TERRAGOAT_STATE_STORAGE_ACCOUNT --resource-group $TERRAGOAT_RESOURCE_GROUP --location $TF_VAR_region --sku Standard_LRS --kind StorageV2 --https-only true --encryption-services blob

# Get storage account key
ACCOUNT_KEY=$(az storage account keys list --resource-group $TERRAGOAT_RESOURCE_GROUP --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --query [0].value -o tsv)

# Create blob container
az storage container create --name $TERRAGOAT_STATE_CONTAINER --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --account-key $ACCOUNT_KEY

Appliquer TerraGoat (Azure)```bash

cd terraform/azure/ terraform init -reconfigure -backend-config="resource_group_name=$TERRAGOAT_RESOURCE_GROUP"
-backend-config "storage_account_name=$TERRAGOAT_STATE_STORAGE_ACCOUNT"
-backend-config="container_name=$TERRAGOAT_STATE_CONTAINER"
-backend-config "key=$TF_VAR_environment.terraform.tfstate"

terraform apply

#### Supprimer TerraGoat (Azure)```bash
terraform destroy

Configuration GCP

Installation (GCP)

Vous pouvez déployer plusieurs piles TerraGoat dans un seul projet GCP en utilisant le paramètre TF_VAR_environment.

Créer un backend GCS pour conserver l'état Terraform

Pour utiliser terraform, un compte de service et un jeu d'identifiants correspondants sont nécessaires. S'ils n'existent pas, ils doivent être créés manuellement pour le projet concerné. Pour créer le compte de service :

Connectez-vous à votre projet GCP, allez dans IAM > Service Accounts.
Cliquez sur CREATE SERVICE ACCOUNT.
Donnez un nom à votre compte de service (par exemple - terragoat) puis cliquez sur CREATE.
Accordez au compte de service le rôle Project > Editor et cliquez sur CONTINUE.
Cliquez sur DONE.

Pour créer les identifiants :

Connectez-vous à votre projet GCP, allez dans IAM > Service Accounts et cliquez sur le compte de service concerné.
Cliquez sur ADD KEY > Create new key > JSON puis cliquez sur CREATE. Cela créera un fichier .json et le téléchargera sur votre ordinateur.

Nous vous recommandons de sauvegarder la clé avec un nom plus explicite que celui généré automatiquement (par exemple terragoat_credentials.json), et de stocker le fichier JSON obtenu dans le répertoire terraform/gcp de terragoat. Une fois les identifiants configurés, créez la configuration BE comme suit :```bash export TF_VAR_environment="dev" export TF_TERRAGOAT_STATE_BUCKET=remote-state-bucket-terragoat export TF_VAR_credentials_path=<PATH_TO_CREDNETIALS_FILE> # example: export TF_VAR_credentials_path=terragoat_credentials.json export TF_VAR_project=<YOUR_PROJECT_NAME_HERE>

Create storage bucket

gsutil mb gs://${TF_TERRAGOAT_STATE_BUCKET}

#### Apply TerraGoat (GCP)```bash
cd terraform/gcp/
terraform init -reconfigure -backend-config="bucket=$TF_TERRAGOAT_STATE_BUCKET" \
    -backend-config "credentials=$TF_VAR_credentials_path" \
    -backend-config "prefix=terragoat/${TF_VAR_environment}"

terraform apply

Supprimer TerraGoat (GCP)```bash