Одно правило группы безопасности с cidr_blocks = ["0.0.0.0/0"] на порту 22 выставляет сервер перед каждым ботом в интернете. Этот скилл находит такую ошибку и ещё десять рискованных настроек Terraform и подсказывает, как исправить каждую.

Ваш агент запускает сканер для ваших файлов .tf и .tfvars и ищет файлы состояния, которые git закоммитит, используя настоящие правила .gitignore из git. Сканер охватывает распространённые ресурсы AWS, а также правила файрвола GCP и Azure, и находит пароли внутри map-структур и URL, например в git-источниках модулей. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного варианта. Значения секретов никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• T01: пароль, ключ или токен, записанный строковым литералом

• T02: порты SSH, RDP, баз данных или администрирования, открытые в интернет

• T03: публичный бакет (ACL public-read или allUsers)

• T04: файл состояния, который не игнорируется .gitignore

REVIEW (проверить перед релизом)

• T11: publicly_accessible = true

• T12: отключено шифрование данных при хранении

• T13: параметр блокировки публичного доступа S3 установлен в false

• T14: IAM-политика с Action для Resource

• T15: модуль без фиксации версии или тега

• T16: база данных без защиты от удаления или финального снапшота

• T17: HTTP-листенер балансировщика нагрузки без перенаправления на HTTPS

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным вариантом для каждого правила

• Рискованный и безопасный примеры, а также реальный отчёт сканера по рискованному примеру

Ограничения

Сканер читает текст HCL и не вычисляет переменные, count, for_each или входные параметры модулей, не читает файлы .tf.json и не видит удалённое состояние. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 10 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (все правила с причинами и более безопасными вариантами) и examples/ (4 файла-примера плюс report.md, реальный вывод сканера для рискованного примера).

Как использовать: это скилл для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку скиллов вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно на Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, и никакие данные никуда не отправляются.