# Conftest로 terraform plan 검증
cd environments/prod
tofu plan -out=tfplan.binary
tofu show -json tfplan.binary > tfplan.json
conftest test tfplan.json --policy ../../policies/conftest/terraform/

# OPA 단위 테스트 실행
opa test policies/opa/ -v

# 통합 검증 (Makefile)
/usr/bin/make policy-test

# 코드에 하드코딩된 시크릿 탐지
gitleaks detect --source . --verbose

# trufflehog로 Git 히스토리 전체 스캔
trufflehog git file://. --only-verified

# GitHub Actions에서 자동 실행 (PR마다)
# .github/workflows/security-scan.yml 참조
/usr/bin/make security-scan

# 암호화 설정 확인
aws s3api get-bucket-encryption \
  --bucket scp-gitops-tfstate-prod \
  --endpoint-url https://objectstorage.kr-west1.scp.samsungsds.com

# 버전 관리 확인
aws s3api get-bucket-versioning \
  --bucket scp-gitops-tfstate-prod \
  --endpoint-url https://objectstorage.kr-west1.scp.samsungsds.com

# 공개 접근 차단 확인
aws s3api get-public-access-block \
  --bucket scp-gitops-tfstate-prod \
  --endpoint-url https://objectstorage.kr-west1.scp.samsungsds.com

# Kyverno 정책 상태 확인
kubectl get clusterpolicy -o wide

# 정책 위반 리포트 조회
kubectl get policyreport -A
kubectl get clusterpolicyreport

# 특정 정책 위반 상세 확인
kubectl describe policyreport -n production

# Conftest 정책 테스트 실행
/usr/bin/make policy-test

# OPA 단위 테스트 전체 실행
opa test policies/opa/ -v --count=5

# Istio 설치 및 mTLS 상태 확인
istioctl verify-install
istioctl proxy-status

# mTLS 연결 확인
istioctl authn tls-check <pod-name>.<namespace>

# NetworkPolicy 적용 여부 확인
kubectl get netpol -A
kubectl describe netpol default-deny-all -n production

# 이미지 서명 검증 정책 확인
kubectl get clusterpolicy verify-image-signature -o yaml

# 1. 새 액세스 키 발급 (SCP 콘솔 또는 CLI)
# scp iam create-access-key --user-name terraform-dev

# 2. GitHub Environment Secret 업데이트
gh secret set SCP_ACCESS_KEY_DEV \
  --env dev \
  --body "<새_액세스_키>"

gh secret set SCP_SECRET_KEY_DEV \
  --env dev \
  --body "<새_시크릿_키>"

# 3. 새 키로 파이프라인 실행 검증
gh workflow run terraform-validate.yml \
  --ref main \
  --field environment=dev

# 4. 구 액세스 키 비활성화 (24시간 후 삭제)
# scp iam deactivate-access-key --access-key-id <구_KEY_ID>

# dev와 동일한 절차, 환경명만 변경
gh secret set SCP_ACCESS_KEY_STAGING --env staging --body "<새_액세스_키>"
gh secret set SCP_SECRET_KEY_STAGING --env staging --body "<새_시크릿_키>"

# staging 배포 파이프라인 검증
gh workflow run terraform-validate.yml --ref main --field environment=staging

# prod는 Vault 동적 자격 증명 사용 → 수동 로테이션 불필요
# Vault 시크릿 엔진 설정 확인
vault read scp/config/root
vault read scp/roles/terraform-prod

# TTL 및 최대 TTL 확인
vault read scp/roles/terraform-prod | grep -E "ttl|max_ttl"

# Vault 토큰 자체 로테이션 (90일 주기)
vault token renew
# 또는 GitHub Secret 업데이트
gh secret set VAULT_TOKEN --env prod --body "<새_VAULT_TOKEN>"

# 1. 새 ArgoCD API 토큰 생성
argocd account generate-token \
  --account ci-deployer \
  --expires-in 90d

# 2. GitHub Secret 업데이트
gh secret set ARGOCD_AUTH_TOKEN_PROD \
  --env prod \
  --body "<새_토큰>"

# 3. 기존 토큰 무효화
argocd account list  # 토큰 ID 확인
argocd account delete-token --account ci-deployer --id <토큰_ID>

# 1. 새 비밀번호 생성 (최소 24자, 특수문자 포함)
NEW_PASSWORD=$(openssl rand -base64 32 | tr -d "=+/" | head -c 24)

# 2. SCP DBaaS 비밀번호 변경 (콘솔 또는 API)
# scp dbaas change-password --instance-id <DB_ID> --new-password "$NEW_PASSWORD"

# 3. GitHub Secret 업데이트
gh secret set TF_VAR_DB_ADMIN_PASSWORD \
  --env prod \
  --body "$NEW_PASSWORD"

# 4. Vault에도 저장 (감사 추적 목적)
vault kv put scp/db/prod-postgres \
  password="$NEW_PASSWORD" \
  rotated_at="$(date -u +%Y-%m-%dT%H:%M:%SZ)"

# 5. 애플리케이션 시크릿(K8s Secret) 업데이트
kubectl create secret generic db-credentials \
  --from-literal=password="$NEW_PASSWORD" \
  --namespace production \
  --dry-run=client -o yaml | kubectl apply -f -

# 드리프트 탐지 수동 실행
cd environments/prod
tofu plan \
  -detailed-exitcode \
  -var-file=prod.tfvars \
  2>&1 | tee /tmp/drift-report.txt

# 종료 코드 해석
# 0: 변경 없음 (기준선 일치)
# 1: 오류 발생
# 2: 드리프트 탐지 (변경 필요)
echo "종료 코드: $?"

# 정책 위반 리포트 조회 (전체 클러스터)
kubectl get policyreport -A -o json | \
  jq '.items[] | select(.summary.fail > 0) | {namespace: .metadata.namespace, fail: .summary.fail}'

# 위반 상세 내역
kubectl get policyreport -n production -o json | \
  jq '.results[] | select(.result == "fail") | {policy: .policy, resource: .resources[0].name, message: .message}'

# 클러스터 레벨 정책 위반
kubectl get clusterpolicyreport -o json | \
  jq '.items[] | select(.summary.fail > 0)'

#!/bin/bash
# scripts/security-baseline-check.sh
# 보안 기준선 위반 항목 전체 점검

echo "=== 보안 기준선 점검 시작 ==="

VIOLATIONS=0

# 1. Kyverno 정책 위반 확인
KYVERNO_FAIL=$(kubectl get policyreport -A -o json 2>/dev/null | \
  jq '[.items[].summary.fail] | add // 0')
echo "[Kyverno] 정책 위반: ${KYVERNO_FAIL}건"
[ "$KYVERNO_FAIL" -gt 0 ] && VIOLATIONS=$((VIOLATIONS + KYVERNO_FAIL))

# 2. 특권 컨테이너 실행 중인지 확인
PRIVILEGED=$(kubectl get pods -A -o json | \
  jq '[.items[] | select(.spec.containers[].securityContext.privileged == true)] | length')
echo "[K8s] 특권 컨테이너: ${PRIVILEGED}개"
[ "$PRIVILEGED" -gt 0 ] && VIOLATIONS=$((VIOLATIONS + PRIVILEGED))

# 3. NetworkPolicy 없는 네임스페이스 확인
NO_NETPOL_NS=$(kubectl get ns -o jsonpath='{.items[*].metadata.name}' | \
  tr ' ' '\n' | while read ns; do
    count=$(kubectl get netpol -n "$ns" 2>/dev/null | wc -l)
    [ "$count" -le 1 ] && echo "$ns"
  done | grep -v "^kube-" | grep -v "^default")
echo "[K8s] NetworkPolicy 없는 네임스페이스: ${NO_NETPOL_NS:-없음}"

# 4. registry.example.com 외 레지스트리 이미지 실행 여부
EXTERNAL_IMAGES=$(kubectl get pods -A -o json | \
  jq -r '.items[].spec.containers[].image' | \
  grep -v "registry.example.com" | grep -v "^$" | sort -u)
if [ -n "$EXTERNAL_IMAGES" ]; then
  echo "[K8s] 비인가 레지스트리 이미지 감지:"
  echo "$EXTERNAL_IMAGES"
  VIOLATIONS=$((VIOLATIONS + 1))
fi

echo "=== 점검 완료: 총 ${VIOLATIONS}건 위반 ==="
exit $VIOLATIONS

# 1. 침해된 키 즉시 비활성화 (SCP 콘솔 또는 API)
# scp iam deactivate-access-key --access-key-id <KEY_ID>

# 2. 해당 키로 생성된 모든 리소스 감사
# scp cloudtrail lookup-events --lookup-attributes AttributeKey=AccessKeyId,AttributeValue=<KEY_ID>

# 3. Terraform 상태 백업 확인
/usr/bin/make state-list ENV=prod

# 4. 새로운 키 발급 및 GitHub Secrets 업데이트
# (GitHub Actions 환경 시크릿 업데이트)

# 5. 영향 받은 모든 환경 검증
/usr/bin/make plan ENV=dev
/usr/bin/make plan ENV=staging
/usr/bin/make plan ENV=prod