kduck13/grc-engineering
GitHub: kduck13/grc-engineering
将 CIS、SOC2、ISO 27001 等合规框架转化为可执行的 Python 审计工具和 Terraform 基础设施代码的 AWS 安全合规项目集。
Stars: 0 | Forks: 0
# GRC 工程
我正在使用此仓库构建 GRC 工程项目，将安全和合规概念转化为实际工具。每个项目都取材于课程、工作或好奇心，并将其转化为我可以实际运行的东西——扫描器、策略执行工具或自动化审计工作流。
## 项目
| Lab | 描述 | 控制项 |
|---|---|---|
| [vpc-segmentation-auditor](./vpc-segmentation-auditor/) | 用于 VPC 网络分段合规性扫描的 Python/boto3 工具。部署故意配置错误的 Terraform 基础设施并进行检测。 | CIS 1.16, 2.9, 5.2, 5.3 / SOC2 CC6.x / ISO 27001 A.9/A.12/A.13 |
| [ebs-encryption-auditor](./ebs-encryption-auditor/) | 用于 EBS 加密态势合规性扫描的 Python/boto3 工具。审计账户级别的默认设置、每卷 CMK 使用情况、快照加密以及挂载未加密卷的实例。 | CIS 2.3.1 / SOC2 CC6.1, CC6.7 / ISO 27001 A.10.1.1 / PCI DSS 3.4 / HIPAA |
## 技术栈
- **IaC:** Terraform
- **扫描器:** Python + boto3
- **测试:** pytest + moto (模拟 AWS)
- **CI/CD:** GitHub Actions (tfsec, checkov, pytest, pip-audit)
- **框架:** CIS AWS Foundations Benchmark, SOC2 TSC, ISO 27001
## 结构
每个项目遵循以下布局：
```
project-name/
├── README.md # what it does, architecture, how to run it
├── terraform/ # infrastructure as code
├── scripts/ # Python scanner or automation
├── policies/ # conformance pack or policy documents
└── tests/ # pytest suite with moto fixtures
```
标签：Boto3, CI/CD 安全, CIS 基准, DevSecOps, EBS 加密, ECS, GitHub Actions, GRC 工程, HIPAA, ISO 27001, PCI DSS, Pytest, Python, SOC2, Terraform, VPC 安全, 上游代理, 云治理, 合规即代码, 合规自动化, 安全合规, 安全规则引擎, 数据投毒防御, 无后门, 网络代理, 网络分段审计, 自动笔记, 逆向工具