TerraGoat - 취약한 Terraform 인프라

TerraGoat는 Bridgecrew의 "취약하도록 설계된" Terraform 저장소입니다.

TerraGoat는 Bridgecrew의 "취약하도록 설계된" Terraform 저장소입니다. TerraGoat는 일반적인 구성 오류가 프로덕션 클라우드 환경에 어떻게 유입될 수 있는지 보여주는 학습 및 교육 프로젝트입니다.

소개

TerraGoat는 DevSecOps가 지속 가능한 잘못된 구성 방지 전략을 설계하고 구현할 수 있도록 구축되었습니다. 이는 정책-코드 프레임워크(예: Bridgecrew 및 Checkov), 인라인 린터, pre-commit 훅 또는 기타 코드 스캐닝 방법을 테스트하는 데 사용할 수 있습니다.

TerraGoat는 클라우드 인프라에 대한 안전한 개발 모범 사례를 구현하는 연습을 위한 기본 교육 환경을 제공하는 기존 *Goat 프로젝트의 전통을 따릅니다.

중요 참고 사항

도움을 받을 수 있는 곳: Bridgecrew Community Slack

진행하기 전에 다음 경고를 숙지하세요:

⚠️ TerraGoat는 사용자 계정에 의도적으로 취약한 AWS 리소스를 생성합니다. 프로덕션 환경이나 민감한 AWS 리소스와 함께 TerraGoat를 배포하지 마십시오.

요구 사항

Terraform 0.12
aws cli
azure cli

취약한 인프라가 프로덕션에 도달하는 것을 방지하려면: Bridgecrew 및 checkov, 인프라 코드를 위한 오픈 소스 정적 분석 도구를 참조하세요.

시작하기

AWS 설정

설치 (AWS)

TF_VAR_environment 매개변수를 사용하여 단일 AWS 계정에 여러 TerraGoat 스택을 배포할 수 있습니다.

Terraform 상태를 유지하기 위한 S3 버킷 백엔드 생성```bash

export TERRAGOAT_STATE_BUCKET="mydevsecops-bucket" export TF_VAR_company_name=acme export TF_VAR_environment=mydevsecops export TF_VAR_region="us-west-2"

aws s3api create-bucket --bucket $TERRAGOAT_STATE_BUCKET
--region $TF_VAR_region --create-bucket-configuration LocationConstraint=$TF_VAR_region

Enable versioning

aws s3api put-bucket-versioning --bucket $TERRAGOAT_STATE_BUCKET --versioning-configuration Status=Enabled

Enable encryption

aws s3api put-bucket-encryption --bucket $TERRAGOAT_STATE_BUCKET --server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "aws:kms" } } ] }'

#### TerraGoat (AWS) 적용```bash
cd terraform/aws/
terraform init \
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
-backend-config="region=$TF_VAR_region"

terraform apply

TerraGoat 제거 (AWS)```bash

terraform destroy

#### 여러 TerraGoat AWS 스택 생성하기```bash
cd terraform/aws/
export TERRAGOAT_ENV=$TF_VAR_environment
export TERRAGOAT_STACKS_NUM=5
for i in $(seq 1 $TERRAGOAT_STACKS_NUM)
do
    export TF_VAR_environment=$TERRAGOAT_ENV$i
    terraform init \
    -backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
    -backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
    -backend-config="region=$TF_VAR_region"

    terraform apply -auto-approve
done

여러 TerraGoat 스택 (AWS) 삭제```bash

cd terraform/aws/ export TF_VAR_environment = $TERRAGOAT_ENV for i in $(seq 1 $TERRAGOAT_STACKS_NUM) do export TF_VAR_environment=$TERRAGOAT_ENV$i terraform init
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET"
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate"
-backend-config="region=$TF_VAR_region"

terraform destroy -auto-approve

done

### Azure 설정

#### 설치 (Azure)

단일 Azure 구독에서 `TF_VAR_environment` 매개변수를 사용하여 여러 TerraGoat 스택을 배포할 수 있습니다.

#### Terraform 상태를 유지하기 위한 Azure Storage Account 백엔드 생성```bash
export TERRAGOAT_RESOURCE_GROUP="TerraGoatRG"
export TERRAGOAT_STATE_STORAGE_ACCOUNT="mydevsecopssa"
export TERRAGOAT_STATE_CONTAINER="mydevsecops"
export TF_VAR_environment="dev"
export TF_VAR_region="westus"

# Create resource group
az group create --location $TF_VAR_region --name $TERRAGOAT_RESOURCE_GROUP

# Create storage account
az storage account create --name $TERRAGOAT_STATE_STORAGE_ACCOUNT --resource-group $TERRAGOAT_RESOURCE_GROUP --location $TF_VAR_region --sku Standard_LRS --kind StorageV2 --https-only true --encryption-services blob

# Get storage account key
ACCOUNT_KEY=$(az storage account keys list --resource-group $TERRAGOAT_RESOURCE_GROUP --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --query [0].value -o tsv)

# Create blob container
az storage container create --name $TERRAGOAT_STATE_CONTAINER --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --account-key $ACCOUNT_KEY

TerraGoat (Azure) 적용```bash

cd terraform/azure/ terraform init -reconfigure -backend-config="resource_group_name=$TERRAGOAT_RESOURCE_GROUP"
-backend-config "storage_account_name=$TERRAGOAT_STATE_STORAGE_ACCOUNT"
-backend-config="container_name=$TERRAGOAT_STATE_CONTAINER"
-backend-config "key=$TF_VAR_environment.terraform.tfstate"

terraform apply

#### TerraGoat (Azure) 제거```bash
terraform destroy

GCP 설정

설치 (GCP)

단일 GCP 프로젝트에서 TF_VAR_environment 파라미터를 사용하여 여러 TerraGoat 스택을 배포할 수 있습니다.

Terraform 상태를 유지하기 위한 GCS 백엔드 생성

Terraform을 사용하려면 서비스 계정과 이에 맞는 자격 증명 세트가 필요합니다. 존재하지 않는 경우 해당 프로젝트에 대해 수동으로 생성해야 합니다. 서비스 계정을 생성하려면:

GCP 프로젝트에 로그인하여 IAM > Service Accounts로 이동합니다.
CREATE SERVICE ACCOUNT를 클릭합니다.
서비스 계정에 이름을 지정하고(예: terragoat) CREATE를 클릭합니다.
서비스 계정에 Project > Editor 역할을 부여하고 CONTINUE를 클릭합니다.
DONE을 클릭합니다.

자격 증명을 생성하려면:

GCP 프로젝트에 로그인하여 IAM > Service Accounts로 이동하고 해당 서비스 계정을 클릭합니다.
ADD KEY > Create new key > JSON을 클릭하고 CREATE를 클릭합니다. 이렇게 하면 .json 파일이 생성되어 컴퓨터에 다운로드됩니다.

자동 생성된 이름보다 더 나은 이름(예: terragoat_credentials.json)으로 키를 저장하고 결과 JSON 파일을 terragoat의 terraform/gcp 디렉터리 안에 저장하는 것을 권장합니다. 자격 증명이 설정되면 다음과 같이 BE 구성을 생성합니다:```bash export TF_VAR_environment="dev" export TF_TERRAGOAT_STATE_BUCKET=remote-state-bucket-terragoat export TF_VAR_credentials_path=<PATH_TO_CREDNETIALS_FILE> # example: export TF_VAR_credentials_path=terragoat_credentials.json export TF_VAR_project=<YOUR_PROJECT_NAME_HERE>

Create storage bucket

gsutil mb gs://${TF_TERRAGOAT_STATE_BUCKET}

#### TerraGoat (GCP) 적용```bash
cd terraform/gcp/
terraform init -reconfigure -backend-config="bucket=$TF_TERRAGOAT_STATE_BUCKET" \
    -backend-config "credentials=$TF_VAR_credentials_path" \
    -backend-config "prefix=terragoat/${TF_VAR_environment}"

terraform apply

제거 TerraGoat (GCP)```bash