從配置漏洞到數據洩露：一則 Terraform 安全案例剖析

引言

隨著企業廣泛採用雲端基礎設施，基礎設施即程式碼（Infrastructure as Code, IaC）工具如 Terraform 變得至關重要。然而，不當的 IaC 配置可能導致嚴重安全風險。本文將剖析一個企業因 Terraform 配置錯誤導致數據洩露的案例，並提供最佳實踐建議。

________________________________________________________________________________________________________________________________________________________________________________________________________________________________

企業簡介與服務概述

A 企業是一家提供雲端數據分析服務的 SaaS 公司，其基礎設施主要運行在 AWS 上，並使用 Terraform 進行自動化部署。由於環境變化頻繁，A 企業高度依賴 Terraform 管理基礎設施。

然而，在一次環境變更後，安全團隊發現某些關鍵資源的存取控制發生異常，導致內部數據面臨潛在風險。

________________________________________________________________________________________________________________________________________________________________________________________________________________________________

事件經過與錯誤配置行為

某日，A 企業的安全監控系統發出警報，顯示 S3 儲存桶出現了來自未知 IP 的下載請求。經調查發現，開發團隊在一次 Terraform 配置更新中，錯誤地將 S3 儲存桶設定為公開讀取，導致內部數據暴露於互聯網。

進一步分析後，發現 Terraform 配置文件中包含以下錯誤：

1.S3 儲存桶誤設為公開讀取

1.resource "aws_s3_bucket_public_access_block" "example" {

2.  bucket = aws_s3_bucket.example.id

3.  block_public_acls = false # 未啟用

4.  block_public_policy = false # 未啟用

5.}

Terraform 配置中未啟用存取控制限制，使得外部使用者可以直接存取 S3 儲存桶。

2.IAM 權限過度開放

1.resource "aws_iam_policy" "example" {

2.  policy = jsonencode({

3.    Statement = [

4.      {

5.        Effect = "Allow"

6.        Action = "s3:*"

7.        Resource = "*"

8.      }

9.    ]

10.  })

11.}

IAM 角色被賦予了過多 S3 操作權限，沒有任何權限限制。

3.憑證管理不當 : AWS API 金鑰在 Terraform 變數文件中，且該文件意外被提交至 GitHub 公共倉庫，導致金鑰洩露。

1.variable "aws_access_key" {

2.  default = "xxxxxxxxxxx"

3.}

4.variable "aws_secret_key" {

5.  default = "xxxxxxxxxxx"

6.}

________________________________________________________________________________________________________________________________________________________________________________________________________________________________

技術分析與核心問題

本次事件的主要問題包括：

1.錯誤的存取控制：開發團隊未遵循最小權限原則，導致 S3、IAM 角色過度授權。

2.缺乏靜態分析與審查機制 : Terraform 配置未經嚴格審查，開發人員直接應用錯誤配置至生產環境。

3.憑證管理不當：敏感資訊被硬編碼於變數文件，且未正確管理 Git 提交，導致 API 金鑰洩露。

4.日誌與監控不足：雖然企業使用 AWS CloudTrail 進行記錄，但缺乏有效的告警機制，導致異常存取行為未能即時攔截。

________________________________________________________________________________________________________________________________________________________________________________________________________________________________

事件處理與後續調整

A 企業的安全團隊在發現問題後，立即採取以下補救措施：

1.立即撤銷過度IAM權限，將 S3 相關權限調整為最低需求。

1.resource "aws_iam_policy" "example" {

2.  policy = jsonencode({

3.   Statement = [

4.      {

5.       Effect = "Allow"

6.        Action = [

7.          "s3:GetObject",

8.          "s3:PutObject"

9.        ]

10.        Resource = "arn:aws:s3:::example-bucket/*"

11.      }

12.    ]

13.  })

14.}

2.更新 Terraform 配置，確保 S3 儲存桶預設為私有，並啟用存取控制列表（ACL）。

1.resource "aws_s3_bucket_public_access_block" "example" {

2.  bucket = aws_s3_bucket.example.id

3.  block_public_acls = true # 啟用 ACL 限制

4.  block_public_policy = true # 啟用公共存取策略限制

5.  ignore_public_acls = true

6.  restrict_public_buckets = true

7.}

3.強制使用 AWS Secrets Manager 來管理 API 金鑰，並重新發行所有受影響的憑證。

1.resource "aws_secretsmanager_secret" "api_keys" {

2.  name = "api-key-secret"

3.}

4.

5.resource "aws_secretsmanager_secret_version" "api_keys_version" {

6.  secret_id = aws_secretsmanager_secret.api_keys.id

7.  secret_string = jsonencode({

8.    access_key = var.aws_access_key,

9.    secret_key = var.aws_secret_key

10.  })

11.}

4.啟用 AWS Config 並整合內部安全策略機制，自動檢測錯誤配置，防止類似事件發生。

5.設立 Git 提交掃描機制，主動防止敏感資訊 (例如 : 金鑰) 被提交至 repository。

________________________________________________________________________________________________________________________________________________________________________________________________________________________________

雲端安全配置與建議

為避免 IaC 配置錯誤導致安全風險，企業應採取以下最佳實踐：

1.最小權限原則（Least Privilege）

a.設定精細化 IAM 規則，確保資源僅允許必要存取。

b.使用 AWS Identity Center 來集中管理 IAM 權限。

2.自動化安全檢測

a.在 CI/CD 流程中導入靜態分析機制，對 IaC 配置進行安全性檢查與驗證，確保不當設定能及早被偵測。

b.啟用 AWS Config，以持續監控基礎設施的安全性。

3.安全憑證管理

a.使用 AWS Secrets Manager 來儲存敏感資訊。

b.禁止將 API 金鑰寫入 Terraform 變數文件，改為動態讀取。

4.日誌與監控強化

a.啟用 AWS CloudTrail 以追蹤 API 調用紀錄。

b.設定 AWS GuardDuty 監控異常存取行為。

________________________________________________________________________________________________________________________________________________________________________________________________________________________________

結語與啟示

本案例突顯了 IaC 安全配置的重要性，錯誤的 Terraform 配置可能導致嚴重的數據洩露與權限管理風險。企業應建立完善的 IaC 安全策略，包括最小權限原則、自動化安全檢測、安全憑證管理與持續監控，以確保雲端環境的安全性。

隨著 IaC 被廣泛採用，安全治理已成為企業不可忽視的課題。透過落實最佳實踐，企業能夠在享受自動化與高效管理的同時，降低潛在的安全風險，確保基礎設施的安全與穩定性。