TerraformGoat

英語 | 中文

TerraformGoat は HXSecurity 研究所による「脆弱性設計」(Vulnerable by Design) のマルチクラウドデプロイメントツールです。

現在対応しているクラウドベンダーは、Alibaba Cloud、Tencent Cloud、Huawei Cloud、Amazon Web Services、Google Cloud Platform、Microsoft Azure です。

🎯 シナリオ

ID	クラウドサービス事業者	クラウドサービスの種類	脆弱性環境
1	Alibaba Cloud	ネットワーキング	VPC セキュリティグループが全ポートを開放
2	Alibaba Cloud	ネットワーキング	VPC セキュリティグループが一般的なポートを開放
3	Alibaba Cloud	オブジェクトストレージ	バケットの HTTP 有効化
4	Alibaba Cloud	オブジェクトストレージ	オブジェクト ACL 書き込み可能
5	Alibaba Cloud	オブジェクトストレージ	オブジェクト ACL 読み取り可能
6	Alibaba Cloud	オブジェクトストレージ	特殊なバケットポリシー
7	Alibaba Cloud	オブジェクトストレージ	バケットの公開アクセス
8	Alibaba Cloud	オブジェクトストレージ	オブジェクトの公開アクセス
9	Alibaba Cloud	オブジェクトストレージ	バケットログ記録の無効化
10	Alibaba Cloud	オブジェクトストレージ	バケットポリシー読み取り可能
11	Alibaba Cloud	オブジェクトストレージ	バケットオブジェクトの走査
12	Alibaba Cloud	オブジェクトストレージ	無制限ファイルアップロード
13	Alibaba Cloud	オブジェクトストレージ	サーバーサイド暗号化 KMS 未設定
14	Alibaba Cloud	オブジェクトストレージ	BYOK を使用しないサーバーサイド暗号化
15	Alibaba Cloud	Elastic Computing Service	ECS SSRF
16	Alibaba Cloud	Elastic Computing Service	未接続の ECS ディスクが暗号化されていない
17	Alibaba Cloud	Elastic Computing Service	ECS 仮想マシンディスクが暗号化されていない
18	Tencent Cloud	ネットワーキング	VPC セキュリティグループが全ポートを開放
19	Tencent Cloud	ネットワーキング	VPC セキュリティグループが一般的なポートを開放
20	Tencent Cloud	オブジェクトストレージ	バケット ACL 書き込み可能
21	Tencent Cloud	オブジェクトストレージ	バケット ACL 読み取り可能
22	Tencent Cloud	オブジェクトストレージ	バケットの公開アクセス
23	Tencent Cloud	オブジェクトストレージ	オブジェクトの公開アクセス
24	Tencent Cloud	オブジェクトストレージ	無制限ファイルアップロード
25	Tencent Cloud	オブジェクトストレージ	バケットオブジェクトの走査
26	Tencent Cloud	オブジェクトストレージ	バケットログ記録の無効化
27	Tencent Cloud	オブジェクトストレージ	サーバーサイド暗号化の無効化
28	Tencent Cloud	Elastic Computing Service	CVM SSRF
29	Tencent Cloud	Elastic Computing Service	CBS ストレージが使用されていない
30	Tencent Cloud	Elastic Computing Service	CVM 仮想マシンディスクが暗号化されていない
31	Huawei Cloud	ネットワーキング	ECS 安全でないセキュリティグループ
32	Huawei Cloud	オブジェクトストレージ	オブジェクト ACL 書き込み可能
33	Huawei Cloud	オブジェクトストレージ	特殊なバケットポリシー