wesleydeanflexion/tfsec

tfsec

镜像概述和主要用途

tfsec是一个用于对Terraform模板进行静态分析的工具，可识别潜在的安全问题。本镜像为Liam Galvin开发的tfsec每日构建版本，支持Terraform v0.12及以上版本，帮助用户在开发和部署过程中提前发现Terraform代码中的安全风险。

核心功能和特性

• 敏感数据检查：跨所有云服务提供商检查敏感数据的不当存储
• 云平台安全最佳实践验证：检查AWS、Azure和GCP资源是否符合安全最佳实践建议
• 模块扫描：支持扫描本地模块（目前仅支持本地模块）
• 表达式评估：不仅检查文字值，还能评估表达式结果

使用场景和适用范围

• CI/CD流水线集成：作为代码构建流程的一部分，自动进行安全检查
• 本地开发验证：开发人员在提交代码前进行本地安全扫描
• 基础设施即代码（IaC）审计：对现有Terraform代码库进行安全审计
• 云资源部署前检查：在部署云资源前识别潜在安全漏洞

使用方法和配置说明

Docker镜像使用

构建镜像

bash
docker build -t tfsec .

运行容器

bash
docker run --rm -it -v "$(pwd):/workdir" tfsec .

• --rm：容器退出后自动删除
• -it：交互模式运行
• -v "$(pwd):/workdir"：将当前目录挂载到容器内的/workdir目录
• .：指定扫描的目录（容器内的路径，对应宿主机当前目录）

基本使用说明

tfsec会递归扫描指定目录，若未指定目录则使用当前工作目录。发现问题时退出状态码非零，无问题时为零。

忽略警告

可通过在代码中添加包含tfsec:ignore:<CODE>的注释来忽略特定警告。若问题涉及代码块（如多行字符串），可在块的上一行单独添加注释。

示例：

hcl
resource "aws_security_group_rule" "my-rule" {
    type = "ingress"
    cidr_blocks = ["0.0.0.0/0"] #tfsec:ignore:AWS006
}

或

hcl
resource "aws_security_group_rule" "my-rule" {
    type = "ingress"
    #tfsec:ignore:AWS006
    cidr_blocks = ["0.0.0.0/0"]
}

包含的检查项

目前检查项主要针对AWS、Azure、GCP资源，同时包含部分 provider 无关的通用检查：

在CI中运行

tfsec设计用于CI流水线，发现潜在问题时会返回非零退出码。如需在构建过程中禁用彩色输出，可使用--no-colour（或--no-color）参数。

对旧版Terraform的支持

若需支持使用HCL v1的Terraform版本（Terraform <0.12），可使用tfsec的v0.1.3版本，但该版本支持有限且检查项较少。