TerraGoat — Уязвимая инфраструктура Terraform

TerraGoat — это репозиторий Terraform от Bridgecrew, созданный по принципу «Уязвимо по замыслу».

TerraGoat — это репозиторий Terraform от Bridgecrew, созданный по принципу «Уязвимо по замыслу». TerraGoat — это учебный и тренировочный проект, демонстрирующий, как типичные ошибки конфигурации могут попасть в производственные облачные среды.

Введение

TerraGoat был создан, чтобы позволить DevSecOps-специалистам спроектировать и внедрить устойчивую стратегию предотвращения неправильных конфигураций. Его можно использовать для тестирования фреймворка «политика как код», такого как Bridgecrew и Checkov, инлайн-линтеров, pre-commit хуков или других методов сканирования кода.

TerraGoat продолжает традицию существующих *Goat-проектов, предоставляющих базовую тренировочную площадку для практики внедрения лучших практик безопасной разработки для облачной инфраструктуры.

Важные замечания

Где получить помощь: Bridgecrew Community Slack

Прежде чем продолжить, обратите внимание на это предупреждение:

⚠️ TerraGoat создаёт намеренно уязвимые ресурсы AWS в вашем аккаунте. НЕ развёртывайте TerraGoat в производственной среде или рядом с любыми конфиденциальными ресурсами AWS.

Требования

Terraform 0.12
aws cli
azure cli

Чтобы предотвратить попадание уязвимой инфраструктуры в производство, см.: Bridgecrew и checkov — инструмент статического анализа с открытым исходным кодом для инфраструктуры как кода.

Начало работы

Настройка AWS

Установка (AWS)

Вы можете развернуть несколько стеков TerraGoat в одном аккаунте AWS, используя параметр TF_VAR_environment.

Создайте бэкенд S3 Bucket для хранения состояния Terraform```bash

export TERRAGOAT_STATE_BUCKET="mydevsecops-bucket" export TF_VAR_company_name=acme export TF_VAR_environment=mydevsecops export TF_VAR_region="us-west-2"

aws s3api create-bucket --bucket $TERRAGOAT_STATE_BUCKET
--region $TF_VAR_region --create-bucket-configuration LocationConstraint=$TF_VAR_region

Enable versioning

aws s3api put-bucket-versioning --bucket $TERRAGOAT_STATE_BUCKET --versioning-configuration Status=Enabled

Enable encryption

aws s3api put-bucket-encryption --bucket $TERRAGOAT_STATE_BUCKET --server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "aws:kms" } } ] }'

#### Применить TerraGoat (AWS)```bash
cd terraform/aws/
terraform init \
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
-backend-config="region=$TF_VAR_region"

terraform apply

Удалить TerraGoat (AWS)```bash

terraform destroy

#### Создание нескольких стеков TerraGoat AWS```bash
cd terraform/aws/
export TERRAGOAT_ENV=$TF_VAR_environment
export TERRAGOAT_STACKS_NUM=5
for i in $(seq 1 $TERRAGOAT_STACKS_NUM)
do
    export TF_VAR_environment=$TERRAGOAT_ENV$i
    terraform init \
    -backend-config="bucket=$TERRAGOAT_STATE_BUCKET" \
    -backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate" \
    -backend-config="region=$TF_VAR_region"

    terraform apply -auto-approve
done

Удаление нескольких стеков TerraGoat (AWS)```bash

cd terraform/aws/ export TF_VAR_environment = $TERRAGOAT_ENV for i in $(seq 1 $TERRAGOAT_STACKS_NUM) do export TF_VAR_environment=$TERRAGOAT_ENV$i terraform init
-backend-config="bucket=$TERRAGOAT_STATE_BUCKET"
-backend-config="key=$TF_VAR_company_name-$TF_VAR_environment.tfstate"
-backend-config="region=$TF_VAR_region"

terraform destroy -auto-approve

done

### Настройка Azure

#### Установка (Azure)

Вы можете развернуть несколько стеков TerraGoat в одной подписке Azure, используя параметр `TF_VAR_environment`.

#### Создание бэкенда учетной записи хранения Azure для хранения состояния Terraform```bash
export TERRAGOAT_RESOURCE_GROUP="TerraGoatRG"
export TERRAGOAT_STATE_STORAGE_ACCOUNT="mydevsecopssa"
export TERRAGOAT_STATE_CONTAINER="mydevsecops"
export TF_VAR_environment="dev"
export TF_VAR_region="westus"

# Create resource group
az group create --location $TF_VAR_region --name $TERRAGOAT_RESOURCE_GROUP

# Create storage account
az storage account create --name $TERRAGOAT_STATE_STORAGE_ACCOUNT --resource-group $TERRAGOAT_RESOURCE_GROUP --location $TF_VAR_region --sku Standard_LRS --kind StorageV2 --https-only true --encryption-services blob

# Get storage account key
ACCOUNT_KEY=$(az storage account keys list --resource-group $TERRAGOAT_RESOURCE_GROUP --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --query [0].value -o tsv)

# Create blob container
az storage container create --name $TERRAGOAT_STATE_CONTAINER --account-name $TERRAGOAT_STATE_STORAGE_ACCOUNT --account-key $ACCOUNT_KEY

Применить TerraGoat (Azure)```bash

cd terraform/azure/ terraform init -reconfigure -backend-config="resource_group_name=$TERRAGOAT_RESOURCE_GROUP"
-backend-config "storage_account_name=$TERRAGOAT_STATE_STORAGE_ACCOUNT"
-backend-config="container_name=$TERRAGOAT_STATE_CONTAINER"
-backend-config "key=$TF_VAR_environment.terraform.tfstate"

terraform apply

#### Удаление TerraGoat (Azure)```bash
terraform destroy

Настройка GCP

Установка (GCP)

Вы можете развернуть несколько стеков TerraGoat в одном проекте GCP, используя параметр TF_VAR_environment.

Создание GCS-бэкенда для хранения состояния Terraform

Для использования terraform необходимы сервисный аккаунт и соответствующий набор учетных данных. Если они не существуют, их необходимо создать вручную для соответствующего проекта. Чтобы создать сервисный аккаунт:

Войдите в свой проект GCP, перейдите в IAM > Service Accounts.
Нажмите CREATE SERVICE ACCOUNT.
Дайте имя вашему сервисному аккаунту (например, terragoat) и нажмите CREATE.
Предоставьте сервисному аккаунту роль Project > Editor и нажмите CONTINUE.
Нажмите DONE.

Чтобы создать учетные данные:

Войдите в свой проект GCP, перейдите в IAM > Service Accounts и нажмите на соответствующий сервисный аккаунт.
Нажмите ADD KEY > Create new key > JSON и нажмите CREATE. Будет создан файл .json и загружен на ваш компьютер.

Мы рекомендуем сохранить ключ с более удобным именем, чем автоматически сгенерированное (например, terragoat_credentials.json), и поместить полученный JSON-файл в каталог terraform/gcp проекта terragoat. После настройки учетных данных создайте конфигурацию BE следующим образом:```bash export TF_VAR_environment="dev" export TF_TERRAGOAT_STATE_BUCKET=remote-state-bucket-terragoat export TF_VAR_credentials_path=<PATH_TO_CREDNETIALS_FILE> # example: export TF_VAR_credentials_path=terragoat_credentials.json export TF_VAR_project=<YOUR_PROJECT_NAME_HERE>

Create storage bucket

gsutil mb gs://${TF_TERRAGOAT_STATE_BUCKET}

#### Применить TerraGoat (GCP)```bash
cd terraform/gcp/
terraform init -reconfigure -backend-config="bucket=$TF_TERRAGOAT_STATE_BUCKET" \
    -backend-config "credentials=$TF_VAR_credentials_path" \
    -backend-config "prefix=terragoat/${TF_VAR_environment}"

terraform apply

Удалить TerraGoat (GCP)```bash