Terrascan

Définition

Terrascan est un scanner de sécurité open source pour l'infrastructure as code, comparable à Checkov, capable d'analyser des configurations Terraform, Kubernetes, Helm et CloudFormation afin d'identifier les violations de bonnes pratiques de sécurité et de conformité avant le déploiement effectif des ressources en environnement cloud ou conteneurisé. Il s'appuie sur le langage de politique Open Policy Agent (Rego) pour définir ses règles de détection, ce qui permet une grande flexibilité dans la création de politiques personnalisées adaptées aux exigences spécifiques d'une organisation, et couvre nativement plusieurs référentiels de conformité reconnus comme le CIS Benchmark, NIST et PCI DSS, facilitant la démonstration de conformité réglementaire directement depuis les résultats de scan. Son intégration dans les pipelines CI/CD permet de générer un rapport détaillé des violations détectées, avec indication de la gravité et de la ressource concernée, et d'interrompre automatiquement un déploiement en cas de violation critique non traitée. En défense, l'usage de Terrascan dès la phase de conception de l'infrastructure, combiné à une politique de correction obligatoire avant fusion du code d'infrastructure, réduit significativement le risque de mise en production de ressources cloud mal configurées, cause fréquente d'incidents de sécurité comme l'exposition publique involontaire d'un compartiment de stockage ou l'ouverture excessive d'un groupe de sécurité réseau.