IaC Security Review 用于对基础设施即代码进行安全审查，适用于 Terraform、Kubernetes、CloudFormation 等 IaC 文件的错误配置、过度授权等风险检查。其完整流程参考 plays/iac-security-review.md。
用途 该技能面向基础设施即代码的安全审查场景，帮助发现 IaC 中的安全风险，并在审查后给出修复方向。
主要能力
- 识别 IaC 类型：根据文件扩展名和内容判断基础设施技术。
- .tf / .tofu 文件 → Terraform/OpenTofu（参考 data/secure-code-prompts/terraform.md）
- Kubernetes 清单（apiVersion, kind: Deployment/Pod/Service）→ Kubernetes（参考 data/secure-code-prompts/kubernetes.md）
- CloudFormation 模板（AWSTemplateFormatVersion, Resources with AWS::）→ CloudFormation（参考 data/secure-code-prompts/cloudformation.md）
- Helm charts（Chart.yaml, templates/）→ 按 Kubernetes 审查，并附加 Helm 特定检查
- 按安全域系统化审查（优先级顺序）：
- 身份与访问管理：过度宽松的策略、通配符权限、硬编码凭据、权限提升路径
- 密钥管理：硬编码密钥、明文凭据、缺少 vault/secret manager 集成
- 网络安全：开放入口（0.0.0.0/0）、不受限端口、缺少分段、公网暴露
- 加密：缺少静态/传输中加密、弱算法、默认密钥
- 存储安全：公开 bucket、未加密卷、缺少版本控制
- 日志与监控：缺少审计轨迹、禁用 CloudTrail/审计日志
- 资源暴露：数据库、管理接口、API 暴露到互联网
- 供应链：未固定版本、不受信任来源、未验证的模块/镜像
- 平台特定风险：Terraform state 暴露、K8s 特权容器、CFN 嵌套堆栈完整性
- 对照基准检查：
- CIS Benchmarks（AWS/Azure/GCP/Kubernetes）
- 云厂商安全最佳实践
- Pod Security Standards（Kubernetes）
- 生成发现：对每项发现引用资源路径、解释错误配置、描述攻击场景、提供修复代码示例、评定严重性。
使用方式 按照 plays/iac-security-review.md 中的完整流程执行，依次完成识别 IaC 类型、按安全域审查、对照基准检查、生成发现。
输出 发现按严重性排序，使用 templates/finding.md 格式，包含严重性数量汇总，以及安全配置改进部分。
适用场景 适用于审查 Terraform、Kubernetes、CloudFormation、Helm 等 IaC 文件的安全配置，检查错误配置、过度授权、密钥泄露、网络暴露、加密缺失、存储暴露、日志缺失、供应链风险及平台特定风险。
限制 资料未提供该技能的具体安装命令、运行环境要求、支持的全部文件类型、性能指标或收费信息，这些内容暂未提供。