# 1. अपनी Tailscale API क्रेडेंशियल सेट करें
export TS_API_KEY="tskey-api-..."

# 2. ऑडिट चलाएँ
tailsnitch

# 3. केवल उच्च-गंभीरता वाले निष्कर्ष देखें
tailsnitch --severity high

# 4. कुछ समस्याओं को ठीक करें ~इंटरैक्टिवली~ yolo मोड
tailsnitch --fix

sudo xattr -rd com.apple.quarantine tailsnitch

go install github.com/Adversis/tailsnitch@latest

git clone https://github.com/Adversis/tailsnitch.git
cd tailsnitch
go build -o tailsnitch .

export TS_OAUTH_CLIENT_ID="..."
export TS_OAUTH_CLIENT_SECRET="tskey-client-..."

export TS_API_KEY="tskey-api-..."

# पूर्ण ऑडिट चलाएँ
tailsnitch

# पास होने वाली जाँचें भी दिखाएँ (verbose)
tailsnitch --verbose

# प्रोसेसिंग के लिए JSON के रूप में आउटपुट
tailsnitch --json

# एक विशिष्ट tailnet का ऑडिट करें (जब OAuth क्लाइंट के पास कई तक पहुँच हो)
tailsnitch --tailnet mycompany.com

# केवल क्रिटिकल और उच्च गंभीरता वाली समस्याएँ दिखाएँ
tailsnitch --severity high

# श्रेणी के अनुसार फ़िल्टर करें
tailsnitch --category access    # ACL समस्याएँ
tailsnitch --category auth      # प्रमाणीकरण और कुंजियाँ
tailsnitch --category device    # डिवाइस सुरक्षा
tailsnitch --category network   # नेटवर्क एक्सपोज़र
tailsnitch --category ssh       # SSH नियम
tailsnitch --category log       # लॉगिंग और एडमिन

# केवल विशिष्ट जाँचें चलाएँ
tailsnitch --checks ACL-001,AUTH-001,DEV-010
tailsnitch --checks stale-devices,tailnet-lock-not-enabled

# सभी उपलब्ध जाँचें सूचीबद्ध करें
tailsnitch --list-checks

# इंटरैक्टिव फिक्स मोड
tailsnitch --fix

# पूर्वावलोकन करें कि क्या ठीक किया जाएगा (dry run)
tailsnitch --fix --dry-run

# सुरक्षित फिक्स स्वतः चुनें (अभी भी पुष्टि की आवश्यकता है)
tailsnitch --fix --auto

# फिक्स क्रियाओं की ऑडिट लॉगिंग अक्षम करें
tailsnitch --fix --no-audit-log

# JSON के रूप में निर्यात करें
tailsnitch --soc2 json > soc2-evidence.json

# CSV के रूप में निर्यात करें (स्प्रेडशीट के लिए)
tailsnitch --soc2 csv > soc2-evidence.csv

resource_type,resource_id,resource_name,check_id,check_title,cc_codes,status,details,tested_at
device,node123,prod-server,DEV-001,Tagged devices with key expiry disabled,CC6.1;CC6.3,PASS,Tags: [tag:server] key expiry enabled,2025-01-05T10:30:00Z
key,tskey-auth-xxx,tskey-auth-xxx,AUTH-001,Reusable auth keys exist,CC6.1;CC6.2;CC6.3,FAIL,Reusable key expires in 45 days,2025-01-05T10:30:00Z

# .tailsnitch-ignore
# सूचनात्मक जाँचें अनदेखा करें
ACL-008  # हम जानबूझकर समूहों का उपयोग नहीं करते
ACL-009  # लीगेसी ACL हमारे उपयोग के लिए ठीक हैं

# औचित्य के साथ विशिष्ट मध्यम जाँचें अनदेखा करें
DEV-006  # बाहरी डिवाइस स्वीकृत ठेकेदार हैं
LOG-001  # फ़्लो लॉग के लिए Enterprise योजना आवश्यक है

# पूरी जाँच को म्यूट करने के बजाय एक जाँच के भीतर एक आइटम अनदेखा करें
ACL-011:tag:monitoring  # डिज़ाइन से व्यापक; हर अन्य टैग अभी भी जाँचा जाता है
AUTH-001:tskey-auth-xxxx  # CI के माध्यम से स्वचालित रूप से घूमता है, TICKET-123 में ट्रैक किया गया

# एक विशिष्ट अनदेखा फ़ाइल का उपयोग करें
tailsnitch --ignore-file /path/to/ignore

# अनदेखा फ़ाइल प्रोसेसिंग पूरी तरह से अक्षम करें
tailsnitch --no-ignore

# पूर्ण रिपोर्ट निर्यात करें
tailsnitch --json > audit.json

# असफल जाँचें TSV के रूप में निकालें
tailsnitch --json | jq -r '
  .suggestions
  | map(select(.pass == false))
  | .[]
  | [.id, .title, .severity, .remediation]
  | @tsv
' > findings.tsv

# गंभीरता के अनुसार सारांश
tailsnitch --json | jq '
  .suggestions
  | map(select(.pass == false))
  | group_by(.severity)
  | map({severity: .[0].severity, count: length})
'

# एडमिन लिंक के साथ क्रिटिकल/उच्च समस्याएँ सूचीबद्ध करें
tailsnitch --json | jq -r '
  .suggestions
  | map(select(.pass == false and (.severity == "CRITICAL" or .severity == "HIGH")))
  | .[]
  | "\(.id): \(.title)\n  Fix: \(.fix.admin_url // "manual")\n"
'

+=====================================================================+
|                    TAILSNITCH SECURITY AUDIT                        |
|            Tailnet: example.com                                     |
|            Version: 1.0.0 (build: abc123)                           |
+=====================================================================+

  Using ignore file: .tailsnitch-ignore (3 rules)

=== ACCESS CONTROLS ===================================================

[CRITICAL] ACL-001: Default 'allow all' policy active
  Your ACL policy omits the 'acls' field. Tailscale applies a
  default 'allow all' policy, granting all devices full access.

  Remediation:
  Define explicit ACL rules following least privilege principle.

  Source: https://tailscale.com/docs/reference/examples/acls
----------------------------------------------------------------------

=== AUTHENTICATION & KEYS =============================================

[HIGH] AUTH-001: Reusable auth keys exist
  Found 2 reusable auth key(s). These can be reused to add
  multiple devices if compromised.

  Details:
    - Key tskey-auth-xxx (expires in 45 days)
    - Key tskey-auth-yyy (expires in 89 days)

  Remediation:
  Store reusable keys in a secrets manager. Prefer one-off keys.

  Source: https://tailscale.com/docs/features/access-control/auth-keys
----------------------------------------------------------------------

SUMMARY
======================================================================
  Critical: 1  High: 3  Medium: 5  Low: 2  Info: 8
  Total findings: 19  |  Passed: 33

# आवश्यकता होने पर कस्टम tailscale बाइनरी पथ निर्दिष्ट करें
tailsnitch --tailscale-path /opt/tailscale/bin/tailscale

# GitHub Actions उदाहरण
- name: Audit Tailscale Security
  env:
    TS_OAUTH_CLIENT_ID: ${{ secrets.TS_OAUTH_CLIENT_ID }}
    TS_OAUTH_CLIENT_SECRET: ${{ secrets.TS_OAUTH_CLIENT_SECRET }}
  run: |
    tailsnitch --json > audit.json
    # Fail if critical or high severity issues exist
    if tailsnitch --severity high --json | jq -e '.summary.critical + .summary.high > 0' > /dev/null; then
      echo "Critical or high severity issues found!"
      tailsnitch --severity high
      exit 1
    fi