IaC-Guard: Terraform Kodlarını RAG ve LLM ile Otomatik Güvenlik Denetiminden Geçirme

Statik Güvenlik Taramasının Ötesine Geçmek

Geleneksel IaC güvenlik araçları (Checkov, Trivy) geliştiriciye genellikle sadece bir kural hatası ve satır numarası verir. IaC-Guard, bu açığı kapatmak için RAG (Retrieval-Augmented Generation) yaklaşımını kullanır.

Bilgi Tabanı ve RAG Hattı

• AWS, Azure, Google Cloud, Kubernetes, Alibaba Cloud ve Huawei Cloud sağlayıcılarına ait 25.723 Terraform dokümantasyon dosyası vektörleştirilerek ChromaDB üzerinde indekslendi.
• FastAPI backend servisi; dosya, ZIP arşivi veya doğrudan GitHub reposu tarayarak güvenlik bulgularını çıkarır.
• LangChain ve Gemini modelleri, ilgili dokümantasyon parçalarını getirerek geliştiriciye sadece neyin yanlış olduğunu değil, neden önemli olduğunu ve tam olarak nasıl düzeltileceğini (remediation code) sunar.

python
Kopyala
# RAG Retriever ile İlgili Güvenlik Dokümanını Getirme
docs = vector_store.similarity_search(
    query=f"Remediation for rule: {finding.rule_id} in {finding.resource_type}",
    k=3
)
remediation_advice = llm_chain.invoke({"finding": finding, "context": docs})

DevSecOps kültüründe geliştirici dostu rehberlik, güvenlik açıklarının çözülme süresini (MTTR) %60 oranında kısaltır.