如何提前检测Azure Defender建议并在Terraform变更前预防相关警告？

要实现安全左移，把Azure Defender for Cloud的安全检查提前到Terraform变更执行前，核心是将Defender的合规规则与CI/CD流水线、本地开发流程深度集成，从代码层面拦截违规配置。以下是具体落地方法：

一、用静态代码扫描工具拦截违规Terraform配置 #

直接在代码阶段扫描Terraform文件，匹配Defender for Cloud的安全建议，一旦发现违规就终止流水线。

• 使用开源扫描工具（Checkov/Trivy）：
  这些工具内置了大量Azure合规规则，完全覆盖你提到的场景：

  • 存储账户SAS令牌风险：Checkov、Trivy会检查是否启用了不必要的SAS权限，或是否使用了过于宽松的令牌策略。
  • SQL Server防火墙配置：Checkov的CKV_AZURE_14规则会验证SQL Server是否配置了限制访问的防火墙规则（而非完全开放或无规则）。
  • 函数应用HTTPS强制：Checkov的CKV_AZURE_29规则会检查azurerm_function_app是否设置了https_only = true。
    在流水线中添加扫描步骤，比如执行：

  checkov -d . --check CKV_AZURE_14,CKV_AZURE_29
  

  工具会返回非零 exit code，直接让流水线失败，阻止违规代码进入部署阶段。

• 自定义规则适配Defender专属建议：
  如果Defender的某些建议未被开源工具覆盖，可编写自定义扫描规则：

  • 用Checkov的Python框架扩展规则，把Defender的安全要求转化为Terraform资源属性的检查逻辑（比如限制存储账户的SAS令牌有效期不超过24小时）。
  • 配置pre-commit钩子，在开发人员提交代码前自动执行自定义扫描，从源头阻止违规。

二、集成Defender for DevOps增强流水线检查 #

Defender for DevOps不止做SAST，它可以直接与Azure Pipelines/GitHub Actions集成，将Terraform代码扫描结果与Defender for Cloud的安全建议映射：

• 在流水线中添加Defender for DevOps任务，它会自动分析Terraform代码，识别会触发Defender警告的配置（比如未加密的存储账户、弱密码策略）。
• 配置流水线规则，当扫描到高风险违规时，直接终止部署流程，无需等到Defender在云端检测到问题。

三、提前检测Defender for Cloud安全建议的方法 #

要主动对齐Defender的规则，可通过以下方式提前获取并转化为代码检查逻辑：

• 导出Defender规则集：
  通过Azure CLI导出所有Defender for Cloud的安全建议，对应到Terraform资源的配置要求：

  az security recommendation list --query "[].{Name:name, Description:properties.description, ResourceType:properties.resourceType}"
  

  把这些建议整理成内部合规清单，逐一转化为Terraform代码的检查项。

• 本地开发阶段前置扫描：
  让开发人员在本地安装Checkov/Trivy，编写Terraform代码时随时扫描；或配置IDE插件（比如VS Code的Terraform Security插件），实时提示违规配置，提前解决问题。

• 解析Terraform Plan验证变更：
  在流水线中执行terraform plan后，将计划输出转为JSON格式：

  terraform plan -out=plan.out
  terraform show -json plan.out > plan.json
  

  编写脚本解析plan.json，检查将要创建/修改的资源是否符合Defender的规则（比如验证即将创建的SQL Server是否包含防火墙规则），违规则终止流水线。

内容的提问来源于stack exchange，提问作者Ludwig Van Beethoven