Terrascan

安全始於第一行代碼：讓您的雲端架構在部署前就具備「免疫力」

• 全方位的 IaC 框架支援: 不僅支援主流的 Terraform，還能深入掃描 Kubernetes 檔案、Helm Chart、Kustomize、Dockerfiles 以及無伺服器（Serverless）架構。
• 龐大的政策庫 (Policy Library): 內建超過 500 個符合最佳實踐的政策規則，涵蓋 CIS Benchmark、GDPR、HIPAA 與 NIST 等全球合規標準。
• 無縫整合 CI/CD 工作流: 透過極輕量的 CLI 工具，可以輕鬆整合進 GitHub Actions、GitLab CI 或 Jenkins，確保任何含有安全風險的代碼都無法通過自動化審核。

主要功能、特點

• 介紹: Terrascan 是一款基於 OPA (Open Policy Agent) 引擎構建的工具。它透過 Rego 語言定義政策，能夠針對 IaC 腳本進行深度靜態分析，找出如「S3 儲存桶公開存取」、「未加密的資料庫」或「權限過大的 IAM 角色」等常見問題。

• 特色服務:

  • 多雲平台覆蓋: 支援 AWS、Azure 與 Google Cloud Platform (GCP) 的特定服務掃描，確保跨雲架構的一致安全性。
  • 準確的風險評級: 自動為發現的漏洞標註嚴重程度（Low, Medium, High, Critical），協助開發團隊優先處理最具威脅的配置錯誤。
  • 準確的補救建議: 掃描報告中不僅會指出錯誤，還會提供具體的修改建議，縮短修復時間並降低資安門檻。
  • 2026 智慧關聯分析: 2026 年版本強化了跨檔案的關聯分析能力，能偵測多個組件組合後產生的潛在安全風險，而非僅限於單一資源的檢查。

IaC 安全工具能力表

快速使用範例 (CLI)

安裝後，只需在專案目錄執行以下指令即可進行掃描：

# 掃描當前目錄下的 Terraform 代碼
terrascan scan -t aws

# 掃描 Kubernetes 資源檔案並輸出 JSON 報告
terrascan scan -i k8s -f my-deployment.yaml -o json

產品說明

Terrascan 是現代雲端架構的「防火牆前置站」。在 網路暨資安軟體 的範疇中，它代表了從「運行時保護」向「開發時預防」的典範轉移。它解決了雲端資源部署速度極快、但安全配置極易被忽視的痛點。其核心價值在於「讓安全自動化」——它賦予了開發者在不依賴資安專家的情況下，自行檢測並修正架構漏洞的能力。對於追求快速交付且必須符合嚴格合規要求的現代企業來說，Terrascan 是確保雲端資產穩固無虞的第一道關卡。