tfsec

tfsec Terraform 安全扫描

补充说明

tfsec 静态扫描 Terraform 代码，检查公开 S3、开放安全组、未加密磁盘、过宽 IAM 等风险。适合在 CI 中做 IaC 安全门禁。

支持 AWS、Azure、GCP、Kubernetes 等 Provider，输出表格、JSON、SARIF 等格式。

常用示例

安装：

brew install tfsec
tfsec --version

扫描目录：

tfsec .
tfsec ./infra --format json --out results.json

按严重级别过滤：

tfsec . --minimum-severity HIGH

在 CI 中失败：

tfsec . --minimum-severity HIGH --soft-fail=false

忽略单条规则：

# tfsec:ignore:aws-s3-enable-bucket-encryption
resource "aws_s3_bucket" "logs" {
  bucket = "logs"
}

易错点与排错

• 只扫描根目录，漏掉 modules 和 environments。
• 规则 ID 随版本变化，升级后 CI 突然失败。
• 忽略规则没有注释和负责人，风险长期存在。
• 只看扫描结果，不结合运行时配置和云上实际状态。
• plan 后的动态值无法静态判断，需要结合 tfsec 的 plan 扫描或其他工具。
• 把 --soft-fail 长期打开，扫描等于没做。
• 扫描结果包含敏感资源名，注意报告访问权限。