kazimmayeed/cloud-security-toolkit

云基础设施安全"代码硬化"工具包镜像

概述

本镜像提供一个全面的云基础设施配置安全分析工具，采用"代码硬化"(Hardening as Code)理念，支持AWS、Azure、GCP三大云平台及多种基础设施即代码(IaC)格式。工具通过自动化安全检测、修复建议和合规报告，帮助用户在部署前识别并解决云配置中的安全漏洞，强化云环境安全 posture。

核心功能与特性

• 多云兼容：全面支持AWS、Azure、GCP主流云平台
• 多IaC格式支持：兼容Terraform、CloudFormation、ARM Templates等常用IaC工具
• 内置安全规则引擎：包含100+条预设安全规则，覆盖身份认证、网络访问、数据加密等关键安全域
• 自动修复能力：不仅检测安全问题，还能生成可应用的修复建议
• CI/CD无缝集成：支持GitHub Actions、Jenkins、GitLab CI等主流DevOps工具链
• 多样化报告输出：提供JSON、HTML、SARIF等格式报告，满足审计与自动化需求
• 可扩展规则系统：允许用户自定义安全规则，适配特定业务场景与合规要求

适用场景

• IaC代码提交前的安全合规检查
• 多云环境配置的统一安全审计
• DevSecOps流程中的自动化安全卡点
• 企业云安全策略的落地与执行监控
• 第三方云配置审计与安全评估项目

使用方法

获取镜像

bash
docker pull cloud-security-toolkit:latest

基础扫描命令

bash
docker run --rm -v $(pwd):/workspace cloud-security-toolkit:latest analyze /workspace/iac-templates

参数说明：
-v $(pwd):/workspace：挂载本地目录到容器内工作区，用于访问IaC配置文件
analyze /workspace/iac-templates：对指定路径下的IaC文件执行安全扫描

生成HTML报告

bash
docker run --rm -v $(pwd):/workspace cloud-security-toolkit:latest \
  analyze /workspace/terraform-configs \
  --output html \
  --report-path /workspace/security-report.html

参数说明：
--output html：指定报告格式为HTML
--report-path：设置报告输出路径（需在挂载目录内以持久化保存）

CI/CD集成示例（GitHub Actions）

在.github/workflows/security-scan.yml中添加：

yaml
jobs:
  cloud-security-scan:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4
      
      - name: Run security scan
        uses: docker://cloud-security-toolkit:latest
        with:
          args: analyze ./iac --output sarif --report-path security-results.sarif
      
      - name: Upload scan results
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: security-results.sarif

配置说明

环境变量

命令行参数

自定义规则

用户可通过YAML格式定义自定义安全规则，示例规则文件：

yaml
rules:
  - id: CUSTOM-001
    severity: high
    title: 禁止使用公共S3存储桶
    description: 检测是否存在允许公共访问的S3存储桶配置
    resource: aws_s3_bucket
    condition: |
      acl == "public-read" || acl == "public-read-write" || 
      block_public_access.configuration.block_public_acls == false
    fix: |
      Set acl to "private" and enable block_public_access

加载自定义规则的命令：

bash
docker run --rm -v $(pwd):/workspace cloud-security-toolkit:latest \
  analyze /workspace/iac \
  --custom-rules /workspace/custom-rules.yaml \
  --rule-set custom

报告应用

生成的报告可用于：

• 安全团队漏洞跟踪与修复优先级排序
• 作为CI/CD流程中的质量门禁，阻止不安全配置部署
• 通过SARIF格式集成到GitHub Code Scanning等平台进行可视化展示
• 导出JSON格式用于安全指标统计与趋势分析