Eine einzige Security-Group-Regel mit cidr_blocks = ["0.0.0.0/0"] auf Port 22 stellt einen Server jedem Bot im Internet zur Schau. Dieser Skill findet das und zehn weitere riskante Terraform-Einstellungen und zeigt Ihnen, wie Sie jede davon beheben.

Ihr Agent führt einen Scanner auf Ihren .tf- und .tfvars-Dateien aus und sucht nach State-Dateien, die git committen würde, anhand der echten .gitignore-Regeln von git. Er deckt gängige AWS-Ressourcen sowie Firewall-Regeln für GCP und Azure ab und findet Passwörter in Maps und URLs, etwa in git-Modulquellen. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einer sichereren Alternative. Secret-Werte werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• T01: ein Passwort, Schlüssel oder Token als literaler String

• T02: SSH-, RDP-, Datenbank- oder Admin-Ports, die zum Internet offen sind

• T03: ein öffentlicher Bucket (public-read-ACL oder allUsers)

• T04: eine State-Datei, die von .gitignore nicht ignoriert wird

REVIEW (vor dem Release prüfen)

• T11: publicly_accessible = true

• T12: Verschlüsselung ruhender Daten deaktiviert

• T13: eine S3-Einstellung zum Blockieren öffentlichen Zugriffs auf false gesetzt

• T14: eine IAM-Richtlinie mit Action auf Resource

• T15: ein Modul, das nicht auf eine Version oder ein Tag festgelegt ist

• T16: eine Datenbank ohne Löschschutz oder finalen Snapshot

• T17: ein HTTP-Listener eines Load Balancers, der nicht auf HTTPS umleitet

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererer Alternative für jede Regel

• Ein riskantes und ein sicheres Beispiel sowie der echte Bericht, den der Scanner für das riskante erzeugt

Grenzen

Der Scanner liest HCL-Text und wertet keine Variablen, count, for_each oder Moduleingaben aus, liest keine .tf.json-Dateien und sieht keinen Remote State. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 10 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Alternative) und examples/ (4 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

Anwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.