tfsec

Description

tfsec est le scanner de sécurité statique spécialisé pour Terraform, développé par Aqua Security. Il analyse les fichiers .tf pour identifier les configurations à risque : ports exposés à 0.0.0.0/0, chiffrement désactivé, IAM trop permissifs, logs désactivés, et plus de 400 autres règles de sécurité couvrant AWS, Azure et GCP.

Contexte cloud

tfsec est conçu pour la rapidité et l'intégration CI/CD. Il analyse les dépendances entre modules Terraform pour détecter les problèmes de propagation de configurations (ex: un module créant un Security Group ouvert utilisé par plusieurs stacks). Il supporte les annotations de suppression commentées directement dans le code .tf.

Points clés

• CLI : tfsec ./terraform --format lovely --minimum-severity HIGH --include-passed pour un rapport complet
• Intégration GitHub Actions : uses: aquasecurity/[email protected] avec soft_fail_on_warn: true pour ne bloquer que les findings HIGH/CRITICAL
• Suppression justifiée : #tfsec:ignore:aws-s3-enable-versioning -- versioning handled by replication avec justification obligatoire dans le commentaire