TerraGoat - Infrastruttura Terraform Vulnerabile

TerraGoat è il repository Terraform "Vulnerable by Design" di Bridgecrew.

TerraGoat è il repository Terraform "Vulnerable by Design" di Bridgecrew. TerraGoat è un progetto di apprendimento e formazione che dimostra come errori di configurazione comuni possano arrivare negli ambienti cloud di produzione.

Introduzione

TerraGoat è stato creato per consentire ai DevSecOps di progettare e implementare una strategia sostenibile di prevenzione delle configurazioni errate. Può essere utilizzato per testare un framework policy-as-code come Bridgecrew & Checkov, linter inline, hook pre-commit o altri metodi di scansione del codice.

TerraGoat segue la tradizione dei progetti *Goat esistenti che forniscono un terreno di formazione di base per esercitarsi nell'implementazione delle migliori pratiche di sviluppo sicuro per l'infrastruttura cloud.

Note importanti

Dove ottenere aiuto: il Bridgecrew Community Slack

Prima di procedere, prendi nota di questi avvertimenti:

⚠️ TerraGoat crea intenzionalmente risorse AWS vulnerabili nel tuo account. NON distribuire TerraGoat in un ambiente di produzione o insieme a risorse AWS sensibili.

Requisiti

Terraform 0.12
aws cli
azure cli

Per prevenire l'arrivo di infrastrutture vulnerabili in produzione, consulta: Bridgecrew & checkov, lo strumento open source di analisi statica per infrastruttura come codice.

Come iniziare

Configurazione AWS

Installazione (AWS)

Puoi distribuire più stack TerraGoat in un unico account AWS utilizzando il parametro TF_VAR_environment.

Crea un backend S3 Bucket per mantenere lo stato di Terraform```bash

export TERRAGOAT_STATE_BUCKET="mydevsecops-bucket" export TF_VAR_company_name=acme export TF_VAR_environment=mydevsecops export TF_VAR_region="us-west-2"

aws s3api create-bucket --bucket $TERRAGOAT_STATE_BUCKET
--region $TF_VAR_region --create-bucket-configuration LocationConstraint=$TF_VAR_region

Enable versioning

aws s3api put-bucket-versioning --bucket $TERRAGOAT_STATE_BUCKET --versioning-configuration Status=Enabled

Enable encryption

aws s3api put-bucket-encryption --bucket $TERRAGOAT_STATE_BUCKET --server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "aws:kms" } } ] }'

#### Applica TerraGoat (AWS)```bash
cd terraform/aws/
terraform init \
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
-backend-config="region=$TF_VAR_region"

terraform apply

Rimuovere TerraGoat (AWS)```bash

terraform destroy

#### Creazione di più stack AWS TerraGoat```bash
cd terraform/aws/
export TERRAGOAT_ENV=$TF_VAR_environment
export TERRAGOAT_STACKS_NUM=5
for i in $(seq 1 $TERRAGOAT_STACKS_NUM)
do
    export TF_VAR_environment=$TERRAGOAT_ENV$i
    terraform init \
    -backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
    -backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
    -backend-config="region=$TF_VAR_region"

    terraform apply -auto-approve
done

Eliminazione di più stack TerraGoat (AWS)```bash

cd terraform/aws/ export TF_VAR_environment = $TERRAGOAT_ENV for i in $(seq 1 $TERRAGOAT_STACKS_NUM) do export TF_VAR_environment=$TERRAGOAT_ENV$i terraform init
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET"
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate"
-backend-config="region=$TF_VAR_region"

terraform destroy -auto-approve

done

### Azure Setup

#### Installazione (Azure)

È possibile distribuire più stack TerraGoat in una singola sottoscrizione Azure utilizzando il parametro `TF_VAR_environment`.

#### Creare un backend dell'account di archiviazione Azure per mantenere lo stato di Terraform```bash
export TERRAGOAT_RESOURCE_GROUP="TerraGoatRG"
export TERRAGOAT_STATE_STORAGE_ACCOUNT="mydevsecopssa"
export TERRAGOAT_STATE_CONTAINER="mydevsecops"
export TF_VAR_environment="dev"
export TF_VAR_region="westus"

# Create resource group
az group create --location $TF_VAR_region --name $TERRAGOAT_RESOURCE_GROUP

# Create storage account
az storage account create --name $TERRAGOAT_STATE_STORAGE_ACCOUNT --resource-group $TERRAGOAT_RESOURCE_GROUP --location $TF_VAR_region --sku Standard_LRS --kind StorageV2 --https-only true --encryption-services blob

# Get storage account key
ACCOUNT_KEY=$(az storage account keys list --resource-group $TERRAGOAT_RESOURCE_GROUP --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --query [0].value -o tsv)

# Create blob container
az storage container create --name $TERRAGOAT_STATE_CONTAINER --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --account-key $ACCOUNT_KEY

Applica TerraGoat (Azure)```bash

cd terraform/azure/ terraform init -reconfigure -backend-config="resource_group_name=$TERRAGOAT_RESOURCE_GROUP"
-backend-config "storage_account_name=$TERRAGOAT_STATE_STORAGE_ACCOUNT"
-backend-config="container_name=$TERRAGOAT_STATE_CONTAINER"
-backend-config "key=$TF_VAR_environment.terraform.tfstate"

terraform apply

#### Rimuovi TerraGoat (Azure)```bash
terraform destroy

Configurazione GCP

Installazione (GCP)

Puoi distribuire più stack TerraGoat in un singolo progetto GCP utilizzando il parametro TF_VAR_environment.

Creare un backend GCS per mantenere lo stato di Terraform

Per utilizzare terraform, sono necessari un account di servizio e un set di credenziali corrispondenti. Se non esistono, devono essere creati manualmente per il progetto pertinente. Per creare l'account di servizio:

Accedi al tuo progetto GCP, vai su IAM > Service Accounts.
Fai clic su CREATE SERVICE ACCOUNT.
Dai un nome al tuo account di servizio (ad esempio - terragoat) e fai clic su CREATE.
Concedi all'account di servizio il ruolo Project > Editor e fai clic su CONTINUE.
Fai clic su DONE.

Per creare le credenziali:

Accedi al tuo progetto GCP, vai su IAM > Service Accounts e fai clic sull'account di servizio pertinente.
Fai clic su ADD KEY > Create new key > JSON e fai clic su CREATE. Questo creerà un file .json e lo scaricherà sul tuo computer.

Consigliamo di salvare la chiave con un nome più carino rispetto a quello generato automaticamente (ad es. terragoat_credentials.json) e di archiviare il file JSON risultante all'interno della directory terraform/gcp di terragoat. Una volta configurate le credenziali, crea la configurazione BE come segue:```bash export TF_VAR_environment="dev" export TF_TERRAGOAT_STATE_BUCKET=remote-state-bucket-terragoat export TF_VAR_credentials_path=<PATH_TO_CREDNETIALS_FILE> # example: export TF_VAR_credentials_path=terragoat_credentials.json export TF_VAR_project=<YOUR_PROJECT_NAME_HERE>

Create storage bucket

gsutil mb gs://${TF_TERRAGOAT_STATE_BUCKET}

#### Applica TerraGoat (GCP)```bash
cd terraform/gcp/
terraform init -reconfigure -backend-config="bucket=$TF_TERRAGOAT_STATE_BUCKET" \
    -backend-config "credentials=$TF_VAR_credentials_path" \
    -backend-config "prefix=terragoat/${TF_VAR_environment}"

terraform apply

Rimuovi TerraGoat (GCP)```bash