Plantillas de infraestructura con errores de seguridad

La infraestructura como código describe recursos (almacenes, redes, reglas de acceso, roles) en archivos que la canalización aplica. Para el evaluador tiene una ventaja: el estado deseado de la nube está escrito y versionado, y cada error tiene archivo, recurso y commit. Y un riesgo: el mismo error se repite cada vez que alguien reutiliza la plantilla.

Un escáner de plantillas busca patrones (algo público, algo abierto a cualquier origen, un permiso con comodín) pero no conoce la intención. La lectura decide con las notas de diseño del cliente.

Abre el laboratorio y lee infra/almacenamiento.tf junto a notas-de-diseno.txt. Uno de los almacenes públicos guarda datos personales y su comentario dice que era temporal.

Una regla de entrada con origen 0.0.0.0/0 admite cualquier dirección de internet. En el puerto del servicio público es lo esperado; en el de una base de datos es un hallazgo, aunque la base pida contraseña, porque la deja expuesta a intentos de cualquiera.

Cierra cada alerta del escáner con una razón: cierta, falso positivo por diseño, o falso positivo porque la plantilla ya hace lo que la alerta echa en falta. Lee el recurso que nombra cada una antes de decidir.

El archivo de estado guarda lo que la herramienta creó, con sus atributos. La documentación oficial de la herramienta dice que el estado contiene los valores sensibles en claro, que marcarlos como sensibles solo los oculta en la salida de la consola, y recomienda guardarlo fuera del repositorio, en un almacén remoto cifrado y con acceso restringido.