IaC 파일 테스트

CLI 버전 1.594.0부터 모든 구성 파일은 로컬에서 처리되어 컴퓨터를 벗어나지 않도록 합니다. 이전 버전은 기본적으로 구성 파일을 Snyk으로 보내 처리합니다. Snyk은 최신 버전의 CLI로 업그레이드할 것을 권장합니다.

개요

Snyk 코드형 인프라를 사용하면 CLI를 사용하여 구성 파일을 테스트할 수 있습니다. 이 페이지에서는 snyk iac test 명령의 특정 옵션을 사용하는 방법에 대한 자세한 정보를 제공합니다. 모든 옵션에 대한 정보는 snyk iac test 명령 도움말을 참조하십시오. 다양한 구성 파일 테스트에 대한 자세한 내용은 다음 페이지를 참조하십시오.

• Terraform 파일

• CloudFormation 파일

• AWS CDK 파일

• Kubernetes 파일

• ARM 파일

• Kustomize 파일

• Helm 차트

• 서버리스 파일

다음 예시에서 샘플 파일 이름을 deployment.yaml과 같이 자신의 파일 이름으로 바꿀 수 있습니다.

지정된 파일에서 문제 테스트

인수를 제공하지 않으면 snyk iac test 명령은 현재 작업 디렉토리를 재귀적으로 탐색하고 찾은 모든 파일을 스캔합니다.

snyk iac test

현재 작업 디렉토리 아래의 특정 파일을 스캔할 수 있습니다. 하나 이상의 파일 경로를 제공하면 명령은 해당 파일만 스캔합니다.

snyk iac test file-1.tf dir/file-2.tf

현재 작업 디렉토리 외부의 파일 경로를 제공하면 명령은 오류를 반환합니다. 예를 들어 다음은 유효한 명령 호출이 아닙니다.

snyk iac test ../main.tf

파일 디렉토리에서 문제 테스트

인수를 제공하지 않으면 명령은 현재 작업 디렉토리를 재귀적으로 탐색하고 찾은 모든 파일을 스캔합니다.

snyk iac test

스캔을 특정 디렉토리로 제한할 수 있습니다.

snyk iac test my-folder

탐색되는 디렉토리의 깊이를 제한할 수 있습니다. 현재 작업 디렉토리의 깊이는 1입니다. 현재 작업 디렉토리 아래의 디렉토리는 깊이가 2 등입니다. 예를 들어 검색을 현재 작업 디렉토리와 두 단계 더 깊은 디렉토리로 제한하려면 다음과 같이 명령을 호출할 수 있습니다.

snyk iac test --detection-depth=3

현재 작업 디렉토리 외부의 디렉토리 경로를 제공하면 명령은 오류를 반환합니다. 예를 들어 다음은 유효한 명령 호출이 아닙니다.

snyk iac test ../my-folder

테스트 형식을 JSON으로 출력

JSON 파일 형식으로 출력을 받으려면 다음 명령을 사용하십시오.

snyk iac test  --json

이는 결과 스냅샷을 로컬에 저장하거나 보고 및 추가 분석을 위해 다른 도구에서 결과를 처리하려는 경우에 유용합니다.

예시:

snyk iac test main.tf --json

테스트 형식을 SARIF로 출력

SARIF는 정적 분석 도구 출력의 개방형 표준입니다. 테스트 결과를 SARIF 파일로 보고 저장하여 다른 도구에서 분석할 수 있습니다.

SARIF 파일 형식으로 출력을 받으려면 다음 명령을 사용하십시오.

snyk iac test main.tf --sarif

이를 파일 출력으로 저장하려면 다음 명령을 실행할 수 있습니다.

snyk iac test main.tf --sarif-file-output=snyk.sarif

특정 심각도 수준 이상의 문제만 표시

지정된 심각도 이상의 문제로 표시되는 결과를 제한하려면 다음 명령을 사용하십시오.

snyk iac test  --severity-threshold=medium

예시:

snyk iac test main.tf --severity-threshold=medium

이는 심각도 값이 중간 이상인 결과만 표시합니다.

특정 Snyk 조직 대상 지정

Snyk UI의 조직 수준에서 보안 규칙의 심각도 설정을 제어할 수 있습니다. CLI 테스트에서 특정 조직을 대상으로 지정하여 실행해야 하는 규칙과 해당 심각도를 결정할 수 있습니다.

조직을 지정하려면 다음 명령을 사용하십시오.

snyk iac test  --org=infrastructure

예시:

snyk iac test main.tf --org=infrastructure

snyk config에서 org 플래그를 설정할 수도 있으므로 조직을 지정할 때마다 --org 옵션을 사용할 필요가 없습니다.

snyk config set org=infrastructure

예제 테스트 출력

Snyk 코드형 인프라

✔ 테스트 완료.

문제

낮은 심각도 문제: 1개

  [낮음] API Gateway 액세스 로깅 비활성화됨
  정보:    Amazon Api Gateway 액세스 로깅이 활성화되지 않았습니다. 감사 기록은 조사 중에 사용하지 못할 수 있습니다.
  규칙:    https://security.snyk.io/rules/cloud/SNYK-CC-TF-118
  경로:    resource > aws_api_gateway_stage[denied] > access_log_settings
  파일:    aws_api_gateway_stage_logging.tf
  해결: access_log_settings 속성을 설정합니다.

-------------------------------------------------------

테스트 요약

  조직: demo-org

✔ 문제 없는 파일: 0개
✗ 문제 있는 파일: 1개
  유효하지 않은 파일: 0개
  무시된 문제: 0개
  총 문제: 1개 [ 0개 치명적, 0개 높음, 0개 중간, 1개 낮음 ]