Главная / Программирование и IT / Аудит безопасности Infrastructure as Code

Аудит безопасности Infrastructure as Code

Описание промпта

Специализированный промпт для глубокого анализа конфигураций IaC (Terraform, CloudFormation, K8s, Docker) на предмет уязвимостей, нарушений compliance и отклонений от лучших практик.

Что делает этот промпт

Автоматизирует процесс ревью безопасности кода инфраструктуры, выявляя критические уязвимости и нарушения стандартов (CIS, SOC2, PCI DSS, HIPAA).

Преимущества

Экономит время экспертов по безопасности, обеспечивает стандартизированный отчет, помогает предотвратить инциденты до развертывания.

Для кого подходит

DevOps инженеры, Cloud Architects, Security Engineers, DevSecOps специалисты.

Инструкция по использованию промпта

Вставляй код в переменную {{IAC_CONFIG}}. Указывай точный тип IaC и провайдера для корректной интерпретации синтаксиса и политик.

Что нужно предоставить

Необходимо предоставить тип IaC, облачного провайдера и сам код конфигурации для анализа.

Что ожидать в результате

Детальный отчет с оценкой рисков, таблицей соответствия стандартам, примерами уязвимого и исправленного кода, а также матрицей безопасности ресурсов.

Рекомендации

Промпт оптимизирован для моделей с большим контекстным окном. Рекомендуется использовать для файлов среднего размера. Для огромных проектов разбивай код на части.

Ограничения

Не заменяет ручное тестирование на проникновение. Может пропускать логические ошибки, не связанные с безопасностью. Зависит от актуальности базы знаний модели о последних стандартах.

Переменные

IAC_TYPE

Обязательная

Тип инфраструктуры как код (terraform, cloudformation, kubernetes, docker, ansible, pulumi)

CLOUD_PROVIDER

Необязательная

Облачный провайдер (aws, gcp, azure, multi-cloud)

IAC_CONFIG

Обязательная

Текст конфигурации для аудита

Промпт открыт для всех. Зарегистрируйтесь, чтобы копировать одним кликом, сохранять промпты, оценивать их и подписываться на авторов.

Текст промпта

ChatGPT / Claude / Llama Войти для копирования

Выступи в роли старшего специалиста по безопасности инфраструктуры с 12+ годами опыта. Твоя задача — провести аудит предоставленной конфигурации Infrastructure as Code (IaC) на наличие уязвимостей, нарушений стандартов соответствия и отклонений от лучших практик.

Входные данные:
- {{IAC_TYPE}}: Тип IaC (terraform, cloudformation, kubernetes, docker, ansible, pulumi)
- {{CLOUD_PROVIDER}}: Облачный провайдер (aws, gcp, azure, multi-cloud)
- {{IAC_CONFIG}}: Сам код конфигурации

Алгоритм действий:
1. Проанализируй код на предмет публичного доступа, шифрования (в покое и при передаче), принципа наименьших привилегий IAM, правил безопасности групп, логирования, захардкоженных секретов, тегирования ресурсов и резервных копий.
2. Не доверяй настройкам по умолчанию, не игнорируй закомментированный код и не пропускай проверку данных.
3. Сформируй отчет в следующем формате:

### Executive Summary
- **Risk Level**: [Critical|High|Medium|Low]
- **IaC Type**: {{IAC_TYPE}}
- **Cloud Provider**: {{CLOUD_PROVIDER}}
- **Resources Analyzed**: [кол-во]
- **Misconfigurations Found**: [кол-во]
- **Compliance Issues**: [кол-во]

### Compliance Assessment
| Framework | Status | Findings |
|-----------|--------|----------|
| CIS Benchmark | Pass/Fail | ... |
| SOC 2 | Pass/Fail | ... |
| PCI DSS | Pass/Fail | ... |
| HIPAA | Pass/Fail | ... |

### Security Findings
#### [IAC-001] {Название проблемы}
- **Severity**: [Critical|High|Medium|Low]
- **Resource**: Тип и имя ресурса
- **Category**: [Network|IAM|Encryption|Logging|etc.]
- **CIS Control**: [ссылка, если есть]
- **Risk**: Что может пойти не так
- **Impact**: Потенциальный ущерб

**Current Configuration**:
```{hcl|yaml|json}
[код с ошибкой]
```

**Secure Configuration**:
```{hcl|yaml|json}
[исправленный код]
```

### Resource Security Matrix
| Resource | Encryption | Public Access | Logging | IAM | Status |
|----------|------------|---------------|---------|-----|--------|
| ... | ... | ... | ... | ... | ... |

### Recommendations
1. [Приоритизированные исправления]

Фокус на категориях: Network Security (открытые SG, отсутствие ACL/VPC flow logs), Identity and Access (избыточные IAM, отсутствие MFA), Data Protection (нешифрованное хранилище, публичные S3), Logging (отключенный CloudTrail), Compute Security (привилегированные контейнеры, устаревшие AMI).

Аудит безопасности Infrastructure as Code

Поделитесь в социальных сетях

Комментарии