人们通常会发现什么是 IaC 当出现故障时，系统会进行扫描。例如，云资源暴露、存储桶公开、角色拥有无人记得曾批准过的权限等等。当团队追溯问题根源时，他们通常会发现同一个根本原因：不安全的“基础设施即代码”（IaC）。IaC 改变了基础设施的构建方式，但也改变了错误传播的规模。一次编写、到处重复使用的单一配置错误，其传播速度可能比任何人工错误都快。IaC 的存在正是为了解决这个问题。从本质上讲，这并非一个理论问题，而是一个实际问题：我们如何在部署之前检测出不安全的基础设施定义？
快速定义：它是什么？? #
IaC 扫描是指在基础设施部署之前，分析基础设施即代码 (IaC) 模板，以检测安全配置错误、策略违规和风险设置的过程。当人们问什么是扫描时，扫描的含义是什么？ IaC 扫描操作，最简单的解释是：它会检查以代码形式编写的基础架构定义，例如： TerraformCloudFormation、ARM 或 Kubernetes 能够显现并识别开发生命周期早期阶段的安全问题。 IaC 扫描不会检查正在运行的基础架构，而是检查什么。 将 如果应用了该代码，则会创建该代码。这种区别至关重要。 IaC security 扫描将检测时间左移，这样可以降低问题修复成本，并减少事故发生的可能性。
为什么重要? #
过去基础设施都是手动创建的。现在，它被定义在版本控制的文件中，并自动部署。这种改变提高了速度和一致性，但也意味着安全错误更容易重复发生。
理解什么是 IaC 扫描需要了解这种风险。诸如权限过高的身份和访问管理 (IAM) 角色、暴露于公共网络、未加密存储或禁用日志记录等配置错误，通常并非传统意义上的漏洞，而是设计缺陷。扫描的重点在于这些缺陷，并评估基础设施定义是否遵循安全最佳实践、组织策略和云提供商的建议。 IaC Scan 可以帮助团队在云资源存在之前（而不是在它们被利用之后）检测到问题。
什么是 IaC 扫描查找? #
IaC security 扫描通常会检查一系列众所周知且经常被利用的配置风险。这些风险包括公开暴露的资源、缺失的加密、权限过大、不安全的网络规则、缺乏日志记录或监控以及不安全的默认设置。这些问题都不需要零日漏洞攻击，它们依赖于配置错误。当被问及什么 IaC 扫描是指，重要的是要理解它并非猜测意图，而是根据安全规则评估已声明的基础设施。 IaC 扫描会将代码中的内容与被认为是安全或可接受的内容进行比较。
IaC 扫描与云安全态势管理 #
关于什么是……的常见误解 IaC 它与扫描已部署云环境的工具的区别在于，云安全态势管理工具分析的是正在运行的基础设施，而不是部署前的安全定义。两者都很有用，但用途不同。 IaC security 扫描可以从源头上防止问题进入生产环境。在代码中修复问题比在生产环境中修复问题更快、更安全。 IaC 扫描是对运行时安全性的补充，而不是替代。
DevOps团队的益处 #
对于 DevOps 团队而言，这种扫描并非为了拖慢进度，而是为了避免返工和事故。其主要优势之一是能够及早获得反馈。开发人员在编写基础设施代码时即可立即发现安全问题。安全发现无需等待数周才能显现，而是能够及时获取反馈。 IaC 扫描可以及时发现并解决问题。另一个好处是能够保持一致性。 IaC security 扫描每次都应用相同的规则。这减少了对经验知识和人工审核的依赖。团队无需记住每个云服务提供商的陷阱，扫描器会代劳。了解什么 IaC 扫描也意味着要认识到它对协作的影响。安全团队可以将预期规范化为规则，而 DevOps 团队则保持自主性。这样一来，意外情况和临时审批就会减少。最后，它还有助于扩展安全性。随着基础设施的增长，人工审查无法跟上。自动化扫描可以解决这个问题。 IaC 扫描规模随代码库规模而变化，而不是随人员数量而变化。
它如何融入DevSecOps? #
开发安全 关键在于将安全措施融入现有工作流程，而不是在最后添加安全门。它与这种模式非常契合。
当团队理解了什么是 IaC 通过扫描，他们不再将其视为安全附加功能，而是将其视为质量控制的一部分。正如代码需要检查语法错误一样，基础设施代码也需要检查安全错误。 IaC security 扫描功能允许以代码形式强制执行安全要求。这与以下理念非常契合： DevOps自动化原则。 一个 IaC 扫描变成了一项必须通过的自动化检查。
如何将其整合到 CI/CD Pipelines? #
将此扫描集成到 CI/CD pipelines 是它发挥最大价值的地方。最常见的方法是运行一个 IaC 扫描期间 pull requests当基础设施代码发生变更时，扫描会自动运行，并在变更合并之前报告结果。这直接回答了实际操作中的问题。 IaC 扫描：在问题出现之前将其发现并解决。
另一个集成点是在构建阶段。 IaC security 扫描可以作为以下过程的一部分执行： pipeline 如果检测到高风险问题，作业将构建失败。这确保了不安全的基础设施定义永远不会进入部署阶段。
有些团队也会在本地运行这种类型的扫描。 pre-commit hooks这使得检测环节进一步前移。开发者在代码推送之前就能获得反馈，从而减少后续的阻力。关键原则在于一致性。 IaC 扫描必须自动化并强制执行。在压力下，可选扫描将被忽略。强制性扫描 IaC 扫描成为软件交付方式的一部分。
常见误区 #
关于什么是……的一个误解 IaC 扫描功能可以取代云安全工具，这是不争的事实。它并不能取代云安全工具。扫描功能可以更早地预防问题，但运行时控制仍然必不可少。
另一种误解是，它只对安全团队有利。实际上，DevOps 团队受益最大。更少的回滚、更少的事件和更少的紧急修复都源于有效的 IaC security 扫描。
有些人认为 IaC 扫描会产生过多的误报。这通常发生在规则没有根据组织的风险模型进行调整时。就像任何安全控制措施一样，它需要校准。
限制 IaC 扫描 #
了解什么 IaC 扫描也意味着了解它不能做什么。 IaC 扫描无法检测部署后引入的问题，也无法查看运行时行为，更无法评估依赖于代码中不存在的外部上下文的风险。尽管如此，这些局限性并不会降低它的价值。 IaC security 扫描针对的是一种特定且非常常见的风险：不安全的基础设施定义。
IaC 扫描是基线对照? #
那么，什么是 IaC 扫描的意义何在？它强调基础设施本身就是代码，而代码必须进行自动化审查。它提供了一种系统化的方法，可以在错误配置演变成安全事件之前将其检测出来。它能够帮助安全团队扩展规模，帮助 DevOps 团队加快迭代速度，并帮助企业在不牺牲自动化的前提下降低风险。
An IaC 扫描并非可有可无的功能。对于任何大规模部署云基础设施的组织而言， IaC security 扫描是基线对照如果做得好，它就会变得隐形，而这正是关键所在。
平台如 西吉尼 通过在开发生命周期早期分析基础设施即代码并强制执行安全性来支持这种方法。 guardrails 在错误配置影响生产环境之前，通过将此扫描直接集成到开发人员的工作流程中，可以避免此类问题。 CI/CD pipeline因此，团队可以在最容易修复且干扰最小的地方解决基础设施风险。安全措施如果内置、自动化且不引人注意，就能发挥最佳效果。
