Infrastructure as Code (IaC) Scanning

Übersicht

Funktion: IaC-Scanning analysiert Konfigurationsdateien Ihrer Infrastruktur, um Fehlkonfigurationen, Richtlinienverstöße und hartcodierte Secrets zu erkennen, bevor sie in die Produktion gelangen. Es scannt unter anderem Kubernetes-Manifeste, Terraform-Dateien, Dockerfiles und CloudFormation-Templates und liefert ausführliche Befunde mit Schweregrad und Hinweisen zur Behebung.
Zielgruppe: Die Funktion richtet sich an DevOps Engineers, Cloud Architects, Security-Teams und Platform Engineers, die Infrastructure as Code verwalten. Sie eignet sich besonders für Teams mit Cloud-Native-Ansätzen, GitOps-Workflows oder Compliance-Anforderungen an Infrastruktur-Deployments.

Hauptmerkmale und Vorteile

Umfassende IaC-Abdeckung: Scannt Infrastruktur-Code über mehrere Plattformen und Formate hinweg, einschließlich Kubernetes, Docker, Terraform, CloudFormation, Azure ARM-Vorlagen und Helm-Charts
Zwei Erkennungsverfahren:
- Erkennung von Fehlkonfigurationen: Erkennt unsichere Konfigurationen, fehlende Sicherheitskontrollen, übermäßige Berechtigungen und Compliance-Verstöße
- Secret-Scanning: Findet hartcodierte Zugangsdaten, API-Schlüssel, Token und sensible Daten im Infrastrukturcode
Ausführliche Befundinformationen:
- Beschreibungen von Konfigurationsproblemen und Sicherheitsauswirkungen
- Schweregrad-Bewertungen (Kritisch, Hoch, Mittel, Niedrig)
- Betroffene Ressourcen und Dateistandorte
- Hinweise zur Behebung und Empfehlungen nach Best Practices
Intelligente Erkennung: Identifiziert automatisch IaC-Dateien in Ihrem Repository und wendet je nach Dateityp geeignete Sicherheitsprüfungen an

Unterstützte Infrastrukturtypen

Kubernetes

Dateimuster: *.yml, *.yaml, *.jsonErkennt Probleme wie:

Privilegierte Container und unsichere Berechtigungen
Fehlende Ressourcenlimits und Sicherheitskontexte
Offengelegte Secrets in Manifesten
Fehlkonfigurationen der Netzwerkrichtlinie

Docker

Dateimuster: Dockerfile, ContainerfileErkennt Probleme wie:

Ausführen als Root-Benutzer
Fehlende Health Checks
Offengelegte Secrets in Build-Argumenten
Unsichere Basis-Images

Terraform

Dateimuster: *.tf, *.tf.json, *.tfvars, tfplan, *.tfplanErkennt Probleme wie:

Öffentlich zugängliche Cloud-Ressourcen
Unverschlüsselter Speicher und Datenbanken
Zu weit gefasste IAM-Richtlinien
Fehlendes Logging und Monitoring

CloudFormation

Dateimuster: *.yml, *.yaml, *.jsonErkennt Probleme wie:

Offene Sicherheitsgruppen
Unverschlüsselte S3-Buckets
Fehlendes CloudTrail-Logging
Unsichere AWS-Ressourcenkonfigurationen

Azure ARM-Vorlagen

Dateimuster: *.jsonErkennt Probleme wie:

Öffentliche Blob-Container
Deaktivierte Verschlüsselung
Schwache Netzwerksicherheitsregeln
Fehlende Diagnoseeinstellungen

Helm-Charts

Dateimuster: *.yaml, *.tpl, *.tar.gzErkennt Probleme in Helm-Vorlagen ähnlich wie Kubernetes-Manifestprüfungen

Einrichtung

IaC-Scanning ist standardmäßig deaktiviert. Wenden Sie sich an den Support, um die Funktion für Ihr Unternehmenskonto freizuschalten.

Das Projekt muss mindestens eine unterstützte IaC-Datei enthalten, damit Infrastruktur-Scanning aktiviert werden kann.

Konfigurationsschritte

IaC-Dateien überprüfen

Stellen Sie sicher, dass Ihr Projekt unterstützte Infrastrukturdateien in einem der oben aufgeführten Formate enthält

Scan-Bereich konfigurieren

Wählen Sie, ob die IaC-Überprüfung in vollständigen oder teilweisen Scans eingeschlossen werden soll

Benachrichtigungen einrichten

Konfigurieren Sie Warnungen für kritische Fehlkonfigurationen und offengelegte Secrets

Bedienungsanleitung

Wichtige Arbeitsabläufe

Automatische Erkennung: Das System erkennt automatisch IaC-Dateien in Ihrem Repository
Konfigurationsanalyse: Führt Sicherheitsprüfungen und Compliance-Regeln basierend auf dem Dateityp durch
Fehlkonfigurationserkennung: Erkennt Sicherheitsprobleme, Richtlinienverstöße und Abweichungen von Best Practices
Secret-Scanning: Sucht nach hartcodierten Zugangsdaten und sensiblen Informationen
Issue-Erstellung: Erstellt für jeden Befund ein nachverfolgbares Security-Issue
Reporting: Erstellt umfassende Berichte mit priorisierten Hinweisen zur Behebung

Häufige Fehlkonfigurationsbeispiele

# ❌ Insecure
apiVersion: v1
kind: Pod
spec:
  containers:
  - name: app
    image: myapp:latest
    securityContext:
      privileged: true  # High severity issue

# ❌ Insecure
FROM ubuntu:latest
RUN apt-get update && apt-get install -y myapp
CMD ["myapp"]  # Running as root

# ❌ Insecure
resource "aws_s3_bucket" "data" {
  bucket = "my-data-bucket"
  acl    = "public-read"  # Critical severity issue
}

Schweregradaufteilung

Kritisch: Sofortiges Handeln erforderlich, gibt sensible Daten preis oder ermöglicht unbefugten Zugriff

Hoch: Sollte vor der Bereitstellung behoben werden, erhebliches Sicherheitsrisiko
Mittel: Sollte in der regulären Wartung behoben werden, moderate Sicherheitsauswirkung
Niedrig: Verbesserungen nach Best Practices, minimales unmittelbares Risiko

Best Practices

Integrieren Sie IaC-Scans in Ihre CI/CD-Pipeline, um Probleme vor der Bereitstellung zu erkennen.

Shift-Left Security: Scannen Sie Infrastrukturcode während der Entwicklung, nicht erst vor dem Deployment
Policy as Code: Definieren und erzwingen Sie unternehmensspezifische Sicherheitsrichtlinien
Versionskontrolle: Speichern Sie sämtlichen Infrastrukturcode in der Versionskontrolle, um einen Audit Trail zu erhalten
Minimalberechtigungen: Konfigurieren Sie die minimal erforderlichen Berechtigungen für alle Ressourcen
Verschlüsselung: Verschlüsseln Sie alle sensiblen Ressourcen im Ruhezustand und bei der Übertragung
Regelmäßige Überprüfungen: Überprüfen und aktualisieren Sie regelmäßig IaC-Sicherheitsrichtlinien
Secret-Management: Verwenden Sie Secret-Management-Tools wie Vault oder AWS Secrets Manager statt hartcodierter Werte
Compliance-Zuordnung: Ordnen Sie Befunde relevanten Compliance-Frameworks wie CIS oder SOC 2 zu

Fehlerbehebung

Keine Probleme gefunden, aber IaC-Dateien sind vorhanden

Lösung: Überprüfen Sie, ob die IaC-Dateien in unterstützten Formaten vorliegen und gültige Konfigurationssyntax enthaltenPrüfung: Stellen Sie sicher, dass die Dateien nicht beschädigt sind oder Parsing-Fehler enthalten

Zu viele geringfügige Befunde

Lösung: Konzentrieren Sie sich zuerst auf Probleme mit kritischer und hoher Schwere, und bearbeiten Sie dann die weniger schwerwiegenden PunktePrüfung: Erwägen Sie, die Schwere-Schwellenwerte basierend auf der Risikotoleranz Ihrer Organisation anzupassen

False Positives bei Fehlkonfigurationen

Lösung: Prüfen Sie den konkreten Konfigurationskontext. Manche Befunde treffen möglicherweise nicht auf Ihren Anwendungsfall zuPrüfen: Verwenden Sie Unterdrückungskommentare oder Richtlinienausnahmen für beabsichtigte Konfigurationen

Scan erkennt nicht alle IaC-Dateien

Lösung: Überprüfen Sie, ob die Dateierweiterungen mit den unterstützten Mustern übereinstimmenPrüfen: Stellen Sie sicher, dass sich die Dateien nicht in ignorierten Verzeichnissen befinden (.gitignore)

Erste Schritte

Kernfunktionen

Integrationen

Werkzeuge & Hilfsprogramme

Versionshinweise

Vertrauen & Compliance

Authentifizierung

Infrastructure as Code (IaC) Scanning

Übersicht

Hauptmerkmale und Vorteile

Unterstützte Infrastrukturtypen

Einrichtung

Konfigurationsschritte

Bedienungsanleitung

Wichtige Arbeitsabläufe

Häufige Fehlkonfigurationsbeispiele

Schweregradaufteilung

Best Practices

Fehlerbehebung

Verwandte Funktionen

​Übersicht

​Hauptmerkmale und Vorteile

​Unterstützte Infrastrukturtypen

​Einrichtung

​Konfigurationsschritte

​Bedienungsanleitung

​Wichtige Arbeitsabläufe

​Häufige Fehlkonfigurationsbeispiele

​Schweregradaufteilung

​Best Practices

​Fehlerbehebung

​Verwandte Funktionen

Übersicht

Hauptmerkmale und Vorteile

Unterstützte Infrastrukturtypen

Einrichtung

Konfigurationsschritte

Bedienungsanleitung

Wichtige Arbeitsabläufe

Häufige Fehlkonfigurationsbeispiele

Schweregradaufteilung

Best Practices

Fehlerbehebung

Verwandte Funktionen