Одной политики бакета с Principal "*", одной группы безопасности с портом 22, открытым для 0.0.0.0/0, или одного пароля в шаблоне достаточно, чтобы потерять данные или весь аккаунт AWS. Этот навык находит эти и ещё девять ошибок CloudFormation до развёртывания и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для шаблонов YAML (с !Ref, !Sub, !GetAtt и !If) и JSON, включая SAM и результат генерации CDK. Он находит каждый ресурс по его Type и оценивает важные для него свойства, рассматривает встроенные функции и динамические ссылки {{resolve:...}} как ссылки, а не значения, и указывает каждую найденную проблему на строке соответствующего свойства. Он никогда не обращается к AWS и ничего не развёртывает. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• C01: бакеты S3, в которые любой может записывать данные, из которых любой может удалять данные или просматривать список объектов

• C02: порты SSH, RDP, баз данных или все порты, открытые для 0.0.0.0/0 или ::/0

• C03: пароли, ключи и токены, записанные в шаблоне или значениях параметров по умолчанию

• C04: политики IAM с Action для Resource либо AdministratorAccess

• C05: RDS, Aurora или Redshift с PubliclyAccessible true

REVIEW (проверить перед релизом)

• C11: хранилища RDS, EBS, EFS или Redshift без шифрования

• C12: бакеты S3, доступные для чтения всем

• C13: другие порты, открытые в интернет

• C14: секретные параметры без NoEcho

• C15: данные DynamoDB, EFS или RDS, удаляемые вместе со стеком

• C16: URL функций Lambda или разрешения, открытые для всех

• C17: балансировщики нагрузки или CloudFront с передачей данных по обычному HTTP

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причины и более безопасного подхода для каждого правила

• Примеры небезопасного и безопасного шаблона и настоящий отчёт сканера по небезопасному примеру

Ограничения

Каждый шаблон анализируется в том виде, в котором записан: значения, передаваемые при развёртывании, Conditions, вложенные стеки, StackSets, Block Public Access на уровне аккаунта и политики управления сервисами не оцениваются. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-архив с 8 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (каждое правило с объяснением причины и более безопасного подхода), а также examples/ (2 файла примеров и report.md, фактический вывод сканера для небезопасного примера).

Как пользоваться: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты можно запускать и отдельно с Python 3.9 или новее, без установки дополнительных пакетов. Они только читают ваши файлы: доступа к сети нет, данные никуда не отправляются.