# 1. Set your Tailscale API credentials
export TS_API_KEY="tskey-api-..."

# 2. Run audit
tailsnitch

# 3. See only high-severity findings
tailsnitch --severity high

# 4. Fix some issues  ~interactively~ yolo mode
tailsnitch --fix

sudo xattr -rd com.apple.quarantine tailsnitch

go install github.com/Adversis/tailsnitch@latest

git clone https://github.com/Adversis/tailsnitch.git
cd tailsnitch
go build -o tailsnitch .

export TS_OAUTH_CLIENT_ID="..."
export TS_OAUTH_CLIENT_SECRET="tskey-client-..."

export TS_API_KEY="tskey-api-..."

# 전체 감사 실행
tailsnitch

# 통과 검사도 표시 (자세히)
tailsnitch --verbose

# 처리를 위해 JSON으로 출력
tailsnitch --json

# 특정 tailnet 감사 (OAuth 클라이언트가 여러 tailnet에 액세스할 수 있는 경우)
tailsnitch --tailnet mycompany.com

# 치명 및 높음 심각도 문제만 표시
tailsnitch --severity high

# 카테고리별 필터
tailsnitch --category access    # ACL 문제
tailsnitch --category auth      # 인증 및 키
tailsnitch --category device    # 장치 보안
tailsnitch --category network   # 네트워크 노출
tailsnitch --category ssh       # SSH 규칙
tailsnitch --category log       # 로깅 및 관리

# 특정 검사만 실행
tailsnitch --checks ACL-001,AUTH-001,DEV-010
tailsnitch --checks stale-devices,tailnet-lock-not-enabled

# 사용 가능한 모든 검사 목록
tailsnitch --list-checks

# 대화형 수정 모드
tailsnitch --fix

# 수정될 내용 미리 보기 (모의 실행)
tailsnitch --fix --dry-run

# 안전한 수정 사항 자동 선택 (여전히 확인 필요)
tailsnitch --fix --auto

# 수정 작업의 감사 로깅 비활성화
tailsnitch --fix --no-audit-log

# JSON으로 내보내기
tailsnitch --soc2 json > soc2-evidence.json

# CSV로 내보내기 (스프레드시트용)
tailsnitch --soc2 csv > soc2-evidence.csv

resource_type,resource_id,resource_name,check_id,check_title,cc_codes,status,details,tested_at
device,node123,prod-server,DEV-001,Tagged devices with key expiry disabled,CC6.1;CC6.3,PASS,Tags: [tag:server] key expiry enabled,2025-01-05T10:30:00Z
key,tskey-auth-xxx,tskey-auth-xxx,AUTH-001,Reusable auth keys exist,CC6.1;CC6.2;CC6.3,FAIL,Reusable key expires in 45 days,2025-01-05T10:30:00Z

# .tailsnitch-ignore
# 정보성 검사 무시
ACL-008  # 의도적으로 그룹을 사용하지 않음
ACL-009  # 기존 ACL이 우리 사용 사례에 적합함

# 특정 중간 검사를 정당성과 함께 무시
DEV-006  # 외부 장치는 승인된 계약자임
LOG-001  # 흐름 로그는 Enterprise 플랜 필요

# 특정 무시 파일 사용
tailsnitch --ignore-file /path/to/ignore

# 무시 파일 처리 완전 비활성화
tailsnitch --no-ignore

# 전체 보고서 내보내기
tailsnitch --json > audit.json

# 실패한 검사를 TSV로 추출
tailsnitch --json | jq -r '
  .suggestions
  | map(select(.pass == false))
  | .[]
  | [.id, .title, .severity, .remediation]
  | @tsv
' > findings.tsv

# 심각도별 요약
tailsnitch --json | jq '
  .suggestions
  | map(select(.pass == false))
  | group_by(.severity)
  | map({severity: .[0].severity, count: length})
'

# 관리 링크가 있는 치명/높음 문제 목록
tailsnitch --json | jq -r '
  .suggestions
  | map(select(.pass == false and (.severity == "CRITICAL" or .severity == "HIGH")))
  | .[]
  | "\(.id): \(.title)\n  Fix: \(.fix.admin_url // "manual")\n"
'

+=====================================================================+
|                    TAILSNITCH SECURITY AUDIT                        |
|            Tailnet: example.com                                     |
|            Version: 1.0.0 (build: abc123)                           |
+=====================================================================+

  Using ignore file: .tailsnitch-ignore (3 rules)

=== ACCESS CONTROLS ===================================================

[CRITICAL] ACL-001: Default 'allow all' policy active
  Your ACL policy omits the 'acls' field. Tailscale applies a
  default 'allow all' policy, granting all devices full access.

  Remediation:
  Define explicit ACL rules following least privilege principle.

  Source: https://tailscale.com/kb/1192/acl-samples
----------------------------------------------------------------------

=== AUTHENTICATION & KEYS =============================================

[HIGH] AUTH-001: Reusable auth keys exist
  Found 2 reusable auth key(s). These can be reused to add
  multiple devices if compromised.

  Details:
    - Key tskey-auth-xxx (expires in 45 days)
    - Key tskey-auth-yyy (expires in 89 days)

  Remediation:
  Store reusable keys in a secrets manager. Prefer one-off keys.

  Source: https://tailscale.com/kb/1085/auth-keys
----------------------------------------------------------------------

SUMMARY
======================================================================
  Critical: 1  High: 3  Medium: 5  Low: 2  Info: 8
  Total findings: 19  |  Passed: 33

# 필요한 경우 사용자 정의 tailscale 바이너리 경로 지정
tailsnitch --tailscale-path /opt/tailscale/bin/tailscale

# GitHub Actions 예시
- name: Tailscale 보안 감사
  env:
    TS_OAUTH_CLIENT_ID: ${{ secrets.TS_OAUTH_CLIENT_ID }}
    TS_OAUTH_CLIENT_SECRET: ${{ secrets.TS_OAUTH_CLIENT_SECRET }}
  run: |
    tailsnitch --json > audit.json
    # 치명 또는 높음 심각도 문제가 있으면 실패
    if tailsnitch --severity high --json | jq -e '.summary.critical + .summary.high > 0' > /dev/null; then
      echo "치명 또는 높음 심각도 문제가 발견되었습니다!"
      tailsnitch --severity high
      exit 1
    fi