Terraform ile kod olarak altyapı güvenliği ve AWS atak yüzeyi keşfi

Bulut teknolojisinin kullanımı gün geçtikçe artmaktadır. Bulut ortamlarının en önemli özelliklerinden birisi ortamların çok hızlı bir şekilde oluşturulup ortadan kaldırılabilir olmasıdır. Hızın bu kadar önemli olmasından dolayı da bulut güvenliğinde uçtan uca güvenlik yaklaşımı izlenmelidir. Çalışmamızda bulut servis sağlayıcılarından olan AWS oluşturulmadan önce başlayan güvenlik kontrolleri, AWS ortamı oluşturulduktan sonra da devam ettirilmekte ve AWS ortamının uçtan uca güvenliğinin sağlanması hedeflenmektedir. Kullanıcıların bulut ortamında işlemlerini hızlı ve kolayca yapmalarına imkan sağlayan Terraform da birçok kullanıcı tarafından bulut ortamını yönetmek için kullanılmaktadır. Fakat Terraform üzerindeki yapılandırma hataları yüzünden zafiyetli bulut ortamları oluşturulmaktadır. Gerçekleştirilen çalışmada, kullanıcıların oluşturduğu Terraform dosyaları, AWS ortamı oluşturulmadan önce kontrol edilmekte ve yapılandırma hataları ile ilgili kullanıcılara iyileştirme önerileri sunulmaktadır. Bu kapsamda çalışmada, ilk olarak kullanıcılar tarafından verilen dizindeki terraform dosyaları incelenmekte, sonrasında dosyalarda bulunan güvenlik problemleri ve iyileştirme önerileri kullanıcılara sunulmaktadır. Bu önerilere göre yapılan iyileştirmelerden sonra oluşturulan AWS ortamında da güvenlik kontrolleri devam etmektedir. Yapılan çalışmanın sonraki aşamasında AWS ortamında bulunan servislere çeşitli sorgular atılarak saldırganların izleyebileceği atak yollar keşfedilmektedir. Keşfedilen bu atak yolları kullanıcılara sunulmaktadır. Böylece ortam oluşmadan önce başlayıp ortam kapatılana kadar devam eden uçtan uca güvenlik sağlanmaktadır. Çalışma sonucunda, AWS ortamında oluşabilecek zafiyetlerin tespit edildiği ve verilen öneriler ile zafiyetlerin kapatıldığı gözlenmiştir. Yapılan testlerde kullanılan metrikler ve değerlendirme kriterleri ile çalışmada uçtan uca güvenliğin sağlandığı görülmektedir.