TerraGoat - Infraestrutura Terraform Vulnerável

TerraGoat é o repositório Terraform "Vulnerável por Design" da Bridgecrew.

TerraGoat é o repositório Terraform "Vulnerável por Design" da Bridgecrew. TerraGoat é um projeto de aprendizagem e treinamento que demonstra como erros de configuração comuns podem chegar a ambientes de nuvem em produção.

Introdução

O TerraGoat foi construído para permitir que DevSecOps projetem e implementem uma estratégia sustentável de prevenção de má configuração. Ele pode ser usado para testar um framework de política como código como Bridgecrew & Checkov, linters inline, hooks de pré-commit ou outros métodos de varredura de código.

O TerraGoat segue a tradição de projetos *Goat existentes que fornecem uma base de treinamento para praticar a implementação de melhores práticas de desenvolvimento seguro para infraestrutura em nuvem.

Notas importantes

Onde obter ajuda: o Bridgecrew Community Slack

Antes de prosseguir, tome nota destes avisos:

⚠️ O TerraGoat cria recursos AWS intencionalmente vulneráveis na sua conta. NÃO implante o TerraGoat em um ambiente de produção ou ao lado de quaisquer recursos AWS sensíveis.

Requisitos

Terraform 0.12
aws cli
azure cli

Para evitar que infraestrutura vulnerável chegue à produção, veja: Bridgecrew & checkov, a ferramenta de análise estática de código aberto para infraestrutura como código.

Começando

Configuração AWS

Instalação (AWS)

Você pode implantar várias stacks do TerraGoat em uma única conta AWS usando o parâmetro TF_VAR_environment.

Crie um backend S3 Bucket para manter o estado do Terraform```bash

export TERRAGOAT_STATE_BUCKET="mydevsecops-bucket" export TF_VAR_company_name=acme export TF_VAR_environment=mydevsecops export TF_VAR_region="us-west-2"

aws s3api create-bucket --bucket $TERRAGOAT_STATE_BUCKET
--region $TF_VAR_region --create-bucket-configuration LocationConstraint=$TF_VAR_region

Enable versioning

aws s3api put-bucket-versioning --bucket $TERRAGOAT_STATE_BUCKET --versioning-configuration Status=Enabled

Enable encryption

aws s3api put-bucket-encryption --bucket $TERRAGOAT_STATE_BUCKET --server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "aws:kms" } } ] }'

#### Aplicar TerraGoat (AWS)```bash
cd terraform/aws/
terraform init \
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
-backend-config="region=$TF_VAR_region"

terraform apply

Remover TerraGoat (AWS)```bash

terraform destroy

#### Criando múltiplos stacks AWS TerraGoat```bash
cd terraform/aws/
export TERRAGOAT_ENV=$TF_VAR_environment
export TERRAGOAT_STACKS_NUM=5
for i in $(seq 1 $TERRAGOAT_STACKS_NUM)
do
    export TF_VAR_environment=$TERRAGOAT_ENV$i
    terraform init \
    -backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
    -backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
    -backend-config="region=$TF_VAR_region"

    terraform apply -auto-approve
done

Excluindo múltiplas stacks do TerraGoat (AWS)```bash

cd terraform/aws/ export TF_VAR_environment = $TERRAGOAT_ENV for i in $(seq 1 $TERRAGOAT_STACKS_NUM) do export TF_VAR_environment=$TERRAGOAT_ENV$i terraform init
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET"
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate"
-backend-config="region=$TF_VAR_region"

terraform destroy -auto-approve

done

### Configuração do Azure

#### Instalação (Azure)

Você pode implantar várias pilhas do TerraGoat em uma única assinatura do Azure usando o parâmetro `TF_VAR_environment`.

#### Criar um backend de Conta de Armazenamento do Azure para manter o estado do Terraform```bash
export TERRAGOAT_RESOURCE_GROUP="TerraGoatRG"
export TERRAGOAT_STATE_STORAGE_ACCOUNT="mydevsecopssa"
export TERRAGOAT_STATE_CONTAINER="mydevsecops"
export TF_VAR_environment="dev"
export TF_VAR_region="westus"

# Create resource group
az group create --location $TF_VAR_region --name $TERRAGOAT_RESOURCE_GROUP

# Create storage account
az storage account create --name $TERRAGOAT_STATE_STORAGE_ACCOUNT --resource-group $TERRAGOAT_RESOURCE_GROUP --location $TF_VAR_region --sku Standard_LRS --kind StorageV2 --https-only true --encryption-services blob

# Get storage account key
ACCOUNT_KEY=$(az storage account keys list --resource-group $TERRAGOAT_RESOURCE_GROUP --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --query [0].value -o tsv)

# Create blob container
az storage container create --name $TERRAGOAT_STATE_CONTAINER --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --account-key $ACCOUNT_KEY

Aplicar TerraGoat (Azure)```bash

cd terraform/azure/ terraform init -reconfigure -backend-config="resource_group_name=$TERRAGOAT_RESOURCE_GROUP"
-backend-config "storage_account_name=$TERRAGOAT_STATE_STORAGE_ACCOUNT"
-backend-config="container_name=$TERRAGOAT_STATE_CONTAINER"
-backend-config "key=$TF_VAR_environment.terraform.tfstate"

terraform apply

#### Remover TerraGoat (Azure)```bash
terraform destroy

Configuração do GCP

Instalação (GCP)

É possível implantar várias stacks do TerraGoat em um único projeto GCP usando o parâmetro TF_VAR_environment.

Criar um backend GCS para manter o estado do Terraform

Para usar o terraform, são necessários uma Service Account e um conjunto de credenciais correspondentes. Se eles não existirem, devem ser criados manualmente para o projeto relevante. Para criar a Service Account:

Faça login no seu projeto GCP, vá para IAM > Service Accounts.
Clique em CREATE SERVICE ACCOUNT.
Dê um nome à sua service account (por exemplo - terragoat) e clique em CREATE.
Conceda à Service Account o papel Project > Editor e clique em CONTINUE.
Clique em DONE.

Para criar as credenciais:

Faça login no seu projeto GCP, vá para IAM > Service Accounts e clique na Service Account relevante.
Clique em ADD KEY > Create new key > JSON e clique em CREATE. Isso criará um arquivo .json e o baixará para o seu computador.

Recomendamos salvar a chave com um nome mais amigável do que o gerado automaticamente (ex.: terragoat_credentials.json) e armazenar o arquivo JSON resultante dentro do diretório terraform/gcp do terragoat. Assim que as credenciais estiverem configuradas, crie a configuração do BE da seguinte forma:```bash export TF_VAR_environment="dev" export TF_TERRAGOAT_STATE_BUCKET=remote-state-bucket-terragoat export TF_VAR_credentials_path=<PATH_TO_CREDNETIALS_FILE> # example: export TF_VAR_credentials_path=terragoat_credentials.json export TF_VAR_project=<YOUR_PROJECT_NAME_HERE>

Create storage bucket

gsutil mb gs://${TF_TERRAGOAT_STATE_BUCKET}

#### Aplicar TerraGoat (GCP)```bash
cd terraform/gcp/
terraform init -reconfigure -backend-config="bucket=$TF_TERRAGOAT_STATE_BUCKET" \
    -backend-config "credentials=$TF_VAR_credentials_path" \
    -backend-config "prefix=terragoat/${TF_VAR_environment}"

terraform apply

Remover TerraGoat (GCP)```bash