# 1. Установите учётные данные API Tailscale
export TS_API_KEY="tskey-api-..."

# 2. Запустите аудит
tailsnitch

# 3. Просмотр только проблем высокой степени серьёзности
tailsnitch --severity high

# 4. Исправление некоторых проблем  ~интерактивный~ yolo-режим
tailsnitch --fix

sudo xattr -rd com.apple.quarantine tailsnitch

go install github.com/Adversis/tailsnitch@latest

git clone https://github.com/Adversis/tailsnitch.git
cd tailsnitch
go build -o tailsnitch .

export TS_OAUTH_CLIENT_ID="..."
export TS_OAUTH_CLIENT_SECRET="tskey-client-..."

export TS_API_KEY="tskey-api-..."

# Полный аудит
tailsnitch

# Показать также проходящие проверки (подробно)
tailsnitch --verbose

# Вывод в формате JSON для обработки
tailsnitch --json

# Аудит конкретной tailnet (если OAuth-клиент имеет доступ к нескольким)
tailsnitch --tailnet mycompany.com

# Показать только критические и проблемы высокой степени серьёзности
tailsnitch --severity high

# Фильтр по категории
tailsnitch --category access    # Проблемы ACL
tailsnitch --category auth      # Аутентификация и ключи
tailsnitch --category device    # Безопасность устройств
tailsnitch --category network   # Сетевая экспозиция
tailsnitch --category ssh       # Правила SSH
tailsnitch --category log       # Логирование и администрирование

# Запустить только определённые проверки
tailsnitch --checks ACL-001,AUTH-001,DEV-010
tailsnitch --checks stale-devices,tailnet-lock-not-enabled

# Список всех доступных проверок
tailsnitch --list-checks

# Интерактивный режим исправления
tailsnitch --fix

# Предварительный просмотр того, что будет исправлено (сухой прогон)
tailsnitch --fix --dry-run

# Автовыбор безопасных исправлений (всё равно требует подтверждения)
tailsnitch --fix --auto

# Отключение аудита действий исправления
tailsnitch --fix --no-audit-log

# Экспорт в JSON
tailsnitch --soc2 json > soc2-evidence.json

# Экспорт в CSV (для электронных таблиц)
tailsnitch --soc2 csv > soc2-evidence.csv

resource_type,resource_id,resource_name,check_id,check_title,cc_codes,status,details,tested_at
device,node123,prod-server,DEV-001,Tagged devices with key expiry disabled,CC6.1;CC6.3,PASS,Tags: [tag:server] key expiry enabled,2025-01-05T10:30:00Z
key,tskey-auth-xxx,tskey-auth-xxx,AUTH-001,Reusable auth keys exist,CC6.1;CC6.2;CC6.3,FAIL,Reusable key expires in 45 days,2025-01-05T10:30:00Z

# .tailsnitch-ignore
# Игнорировать информационные проверки
ACL-008  # Мы намеренно не используем группы
ACL-009  # Устаревшие ACL подходят для нашего случая

# Игнорировать определённые проверки средней степени серьёзности с обоснованием
DEV-006  # Внешние устройства — одобренные подрядчики
LOG-001  # Журналы потоков требуют тарифа Enterprise

# Использовать конкретный файл игнорирования
tailsnitch --ignore-file /path/to/ignore

# Отключить обработку файла игнорирования
tailsnitch --no-ignore

# Экспорт полного отчёта
tailsnitch --json > audit.json

# Извлечение непройденных проверок в TSV
tailsnitch --json | jq -r '
  .suggestions
  | map(select(.pass == false))
  | .[]
  | [.id, .title, .severity, .remediation]
  | @tsv
' > findings.tsv

# Сводка по степени серьёзности
tailsnitch --json | jq '
  .suggestions
  | map(select(.pass == false))
  | group_by(.severity)
  | map({severity: .[0].severity, count: length})
'

# Список критических/высоких проблем со ссылками в админку
tailsnitch --json | jq -r '
  .suggestions
  | map(select(.pass == false and (.severity == "CRITICAL" or .severity == "HIGH")))
  | .[]
  | "\(.id): \(.title)\n  Fix: \(.fix.admin_url // "manual")\n"
'

+=====================================================================+
|                    TAILSNITCH SECURITY AUDIT                        |
|            Tailnet: example.com                                     |
|            Версия: 1.0.0 (сборка: abc123)                           |
+=====================================================================+

  Используется файл игнорирования: .tailsnitch-ignore (3 правила)

=== КОНТРОЛЬ ДОСТУПА ===================================================

[CRITICAL] ACL-001: Активна политика «разрешить всё» по умолчанию
  В вашей ACL-политике отсутствует поле 'acls'. Tailscale применяет
  политику «разрешить всё» по умолчанию, предоставляя всем устройствам
  полный доступ.

  Исправление:
  Определите явные правила ACL, следуя принципу наименьших привилегий.

  Источник: https://tailscale.com/kb/1192/acl-samples
----------------------------------------------------------------------

=== АУТЕНТИФИКАЦИЯ И КЛЮЧИ ============================================

[HIGH] AUTH-001: Существуют повторно используемые ключи аутентификации
  Обнаружено 2 повторно используемых ключа аутентификации. При компрометации
  они могут быть использованы для добавления нескольких устройств.

  Подробности:
    - Ключ tskey-auth-xxx (истекает через 45 дней)
    - Ключ tskey-auth-yyy (истекает через 89 дней)

  Исправление:
  Храните повторно используемые ключи в менеджере секретов. Предпочитайте
  одноразовые ключи.

  Источник: https://tailscale.com/kb/1085/auth-keys
----------------------------------------------------------------------

СВОДКА
======================================================================
  Critical: 1  High: 3  Medium: 5  Low: 2  Info: 8
  Всего результатов: 19  |  Пройдено: 33

# Укажите путь к пользовательскому бинарнику tailscale при необходимости
tailsnitch --tailscale-path /opt/tailscale/bin/tailscale

# Пример для GitHub Actions
- name: Аудит безопасности Tailscale
  env:
    TS_OAUTH_CLIENT_ID: ${{ secrets.TS_OAUTH_CLIENT_ID }}
    TS_OAUTH_CLIENT_SECRET: ${{ secrets.TS_OAUTH_CLIENT_SECRET }}
  run: |
    tailsnitch --json > audit.json
    # Ошибка, если существуют проблемы критической или высокой степени серьёзности
    if tailsnitch --severity high --json | jq -e '.summary.critical + .summary.high > 0' > /dev/null; then
      echo "Обнаружены проблемы критической или высокой степени серьёзности!"
      tailsnitch --severity high
      exit 1
    fi