应用安全SASTIaC【免费下载链接】tfsecTfsec is now part of Trivy项目地址https://gitcode.com/gh_mirrors/tf/tfsec点击查看免费下载导读本文基于 tfsec 静态安全扫描工具的 AWS Athena 检查文档docs/checks/aws/athena/index.md系统讲解 tfsec 针对 Amazon Athena 的两条内置安全规则aws-athena-enable-at-rest-encryption静态加密与aws-athena-no-encryption-override禁止客户端覆盖加密配置。读完本文你将理解 Athena 数据库与工作组workgroup在 Terraform 中常见的加密配置缺陷掌握通过encryption_configuration与enforce_workgroup_configuration编写合规配置的完整写法并能结合规则 ID、忽略注释与 CI 集成方式将这两条检查落地到实际扫描流程中。检查概览Athena 的两条安全规则在 tfsec 的规则体系中AWS Athena 服务共包含两条默认启用、严重级别均为high高的检查项。它们收录在规则总表 rules.md 中并作为 mkdocs 文档导航的一部分见 mkdocs.yml规则 ID所属服务默认严重级别规则描述aws-athena-enable-at-rest-encryptionathenahighAthena 数据库与工作组配置默认创建时未做静态加密应为其启用加密aws-athena-no-encryption-overrideathenahighAthena 工作组应强制生效配置防止客户端自行关闭加密设置两条规则分别从是否加密与加密是否可被绕过两个维度对 Athena 资源进行防护组合使用可以覆盖 Athena 数据加密生命周期的主要风险面。兼容旧版规则 IDtfsec 在历史版本中曾使用AWS059、AWS060这样的短 ID 标识 Athena 检查项。在新版中这些 ID 与长 ID 的映射关系保存在 internal/pkg/legacy/map.goAWS059: aws-athena-enable-at-rest-encryption, AWS060: aws-athena-no-encryption-override,这意味着如果你在tfsec:ignore:注释或 CI 配置中看到过AWS059/AWS060它们分别对应上述两条 Athena 规则迁移到长 ID 后扫描行为保持一致。检查一aws-athena-enable-at-rest-encryption默认严重级别high风险说明Athena 数据库与工作组查询结果集query result set应当开启静态加密。这些数据通常直接派生于 S3 桶中的原始数据理应享有同等强度的静态防护。潜在影响若 Athena 数据库被攻破其中的数据将可被直接读取。修复建议为 Athena 数据库与工作组配置启用静态加密。触发场景Insecure Example以下示例将触发aws-athena-enable-at-rest-encryption检查来自 enable-at-rest-encryption/index.md。可以看到aws_athena_database未声明任何encryption_configurationaws_athena_workgroup的result_configuration中也未配置加密resource aws_athena_database bad_example { name database_name bucket aws_s3_bucket.hoge.bucket } resource aws_athena_workgroup bad_example { name example configuration { enforce_workgroup_configuration true publish_cloudwatch_metrics_enabled true result_configuration { output_location s3://${aws_s3_bucket.example.bucket}/output/ } } }合规写法Secure Example在资源中显式声明encryption_configuration即可通过检查来自 enable-at-rest-encryption/index.md。数据库层面在aws_athena_database内声明加密配置工作组层面则在configuration.result_configuration内声明resource aws_athena_database good_example { name database_name bucket aws_s3_bucket.hoge.bucket encryption_configuration { encryption_option SSE_KMS kms_key_arn aws_kms_key.example.arn } } resource aws_athena_workgroup good_example { name example configuration { enforce_workgroup_configuration true publish_cloudwatch_metrics_enabled true result_configuration { output_location s3://${aws_s3_bucket.example.bucket}/output/ encryption_configuration { encryption_option SSE_KMS kms_key_arn aws_kms_key.example.arn } } } }配置要点说明encryption_option指定加密方式AWS Athena 支持SSE_S3S3 服务端加密无需额外 KMS 成本与SSE_KMS使用 KMS 客户主密钥。上述示例选用SSE_KMS并配合kms_key_arn指定密钥 ARN属于更强、可审计的加密方案。kms_key_arn仅当encryption_option SSE_KMS时生效需引用已创建的aws_kms_key资源。两条资源的加密位置不同数据库的encryption_configuration直接位于资源顶层工作组的encryption_configuration必须嵌套在configuration.result_configuration块内部作用于查询结果输出位置。检查二aws-athena-no-encryption-override默认严重级别high风险说明Athena 工作组的配置应被强制生效防止客户端在发起查询时通过会话级参数覆盖override加密等安全设置。潜在影响客户端可以无视工作组的加密要求以未加密方式执行查询。修复建议开启enforce_workgroup_configuration拒绝客户端覆盖配置。触发场景Insecure Example以下示例将触发aws-athena-no-encryption-override检查来自 no-encryption-override/index.md。第一种写法将enforce_workgroup_configuration显式设为false第二种写法干脆省略了configuration块——这两种情况都会被判定为未强制工作组配置resource aws_athena_workgroup bad_example { name example configuration { enforce_workgroup_configuration false publish_cloudwatch_metrics_enabled true result_configuration { output_location s3://${aws_s3_bucket.example.bucket}/output/ encryption_configuration { encryption_option SSE_KMS kms_key_arn aws_kms_key.example.arn } } } } resource aws_athena_workgroup bad_example { name example }值得注意第二个坏示例中即便没有任何显式的加密配置只要缺少configuration块或未开启enforce_workgroup_configuration同样无法通过检查。这说明该规则的判定逻辑关注配置是否被强制而不仅仅是是否声明了加密参数。合规写法Secure Example将enforce_workgroup_configuration设为true即可通过检查来自 no-encryption-override/index.mdresource aws_athena_workgroup good_example { name example configuration { enforce_workgroup_configuration true publish_cloudwatch_metrics_enabled true result_configuration { output_location s3://${aws_s3_bucket.example.bucket}/output/ encryption_configuration { encryption_option SSE_KMS kms_key_arn aws_kms_key.example.arn } } } }配置要点说明enforce_workgroup_configuration工作组级开关。置为true时Athena 会拒绝客户端传入的、与工作组设置冲突的查询级配置例如客户端尝试关闭结果加密从源头杜绝绕过。publish_cloudwatch_metrics_enabled示例中的辅助配置用于向 CloudWatch 发布查询指标它与本规则的判定无直接关系但属于工作组configuration块的常见完整写法。最佳实践是将两条 Athena 规则同时满足既开启enforce_workgroup_configuration true又显式声明encryption_configuration形成加密 不可绕过的双重保障。在 tfsec 中运行与验证 Athena 检查基础扫描tfsec 会扫描指定目录下的全部 Terraform 文件未指定目录时默认扫描当前工作目录tfsec .若代码中存在上述不安全写法tfsec 将以非零退出码结束并在输出中标注规则 ID、文件与行号。针对 Athena 资源你会看到形如aws-athena-enable-at-rest-encryption、aws-athena-no-encryption-override的检查结果条目并附 high 级别告警与修复建议。临时豁免Ignore对于确需临时忽略的告警可以在对应 Terraform 行尾或行上方添加注释参见 README.md#tfsec:ignore:aws-athena-enable-at-rest-encryption resource aws_athena_workgroup example { name example }也可以为忽略设置过期日期格式yyyy-mm-dd到期后自动重新生效防止问题被遗忘见 README.md#tfsec:ignore:aws-athena-no-encryption-override:exp:2027-01-01排除特定检查如果希望整次扫描跳过 Athena 检查可以使用-e参数tfsec . -e aws-athena-enable-at-rest-encryption,aws-athena-no-encryption-override接入 CItfsec 为 CI 场景提供了--no-colour即--no-color选项去除彩色输出配合 JSON、SARIF 等结构化输出格式可将 Athena 检查结果直接嵌入流水线门禁非零退出码即代表存在未修复的高危配置详见 README.md 的 Running in CI 章节。规则来源与参考依据两条规则的定义与描述可在规则总表 rules.md 中检索Provider 列为awsService 列为athena。规则旧 ID 与长 ID 的映射关系见 internal/pkg/legacy/map.go。单条规则的完整文档含严重级别、风险说明、不安全/安全示例位于 enable-at-rest-encryption/index.md 与 no-encryption-override/index.md。涉及的具体 Terraform 资源为aws_athena_database与aws_athena_workgroup加密参数对应 AWS Provider 中encryption_configuration块的定义相关参数语义如SSE_KMS与kms_key_arn的搭配关系可对照 Terraform AWS Provider 的资源文档进一步核对。小结aws-athena-enable-at-rest-encryption与aws-athena-no-encryption-override是 tfsec 中针对 Athena 服务的一对互补检查前者保证数据库与查询结果集在静态层面被加密后者保证工作组的安全配置不会被客户端覆盖。在编写 Terraform 时只要在aws_athena_database顶层与aws_athena_workgroup的configuration.result_configuration中同时声明encryption_configuration并将enforce_workgroup_configuration置为true即可同时通过两条检查。结合规则 ID 映射、tfsec:ignore豁免与 CI 集成可以将其低成本地纳入日常基础设施代码的自动化安全审计。赞分享应用安全SASTIaC【免费下载链接】tfsecTfsec is now part of Trivy项目地址https://gitcode.com/gh_mirrors/tf/tfsec点击查看免费下载相关推荐Nanobot OpenAI 兼容 API 完整指南用 /v1/chat/completions 把本地 Agent 接入任何应用Nanobot OpenAI 兼容 API 完整指南用 /v1/chat/completions 把本地 Agent 接入任何应用 Nanobot 内置了一套应用安全SASTIaCtfsec 的 AWS EFS 静态加密检查 aws-efs-enable-at-rest-encryption 完全指南tfsec 的 AWS EFS 静态加密检查 aws efs enable at rest encryption 完全指南 本指南聚焦 tfsec 内置规则库中应用安全SASTIaCtfsec 规则解读强制 AWS ElastiCache 复制组启用静态加密aws-elasticache-enable-at-rest-encryptiontfsec 规则解读强制 AWS ElastiCache 复制组启用静态加密aws elasticache enable at rest encryptio应用安全SASTIaC创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考