CloudGuard — 云基础设施与 IaC 安全扫描器

CloudGuard 扫描代码库中存在风险的云基础设施配置模式，包括 Terraform 错误配置、公开的 S3 存储桶、过于宽松的 IAM 策略、缺失静态加密、暴露的端口、缺失日志与监控，以及通用云合规性缺口。它基于正则表达式定义了覆盖 6 类安全领域的共 90 种检测模式，生成按严重性分级、含可操作修复建议的报告，并可通过 lefthook 与 Git 钩子集成。100% 本地运行，零遥测数据。

命令

免费版（无需许可证）

cloudguard scan [文件|目录]

对基础设施即代码（IaC）文件或目录执行一次性云安全扫描。

执行方式：

bash "/scripts/dispatcher.sh" --path [目标路径]

功能说明：

1. 接受文件路径或目录（默认为当前目录）
2. 自动识别所有 IaC 与配置文件（Terraform .tf、CloudFormation .yml/.yaml/.json、Dockerfile、Kubernetes 清单、云配置文件等）
3. 对每个文件执行 30 项云安全检测（免费版限制）
4. 跳过 .git、node_modules、.terraform、vendor 及其他非 IaC 目录
5. 尊重 .gitignore 及白名单文件
6. 为每个文件及整体计算云安全评分（0–100 分）
7. 评分等级：A（90–100）、B（80–89）、C（70–79）、D（60–69）、F（<60）
8. 输出结果包含：文件路径、行号、检查 ID、严重性、类别、描述、修复建议
9. 若综合评分 ≥ 70，退出码为 0；若评分 < 70（存在过多错误配置），退出码为 1
10. 免费版仅启用全部 90 种模式中的前 30 种

典型使用场景示例：

• “扫描我的 Terraform 以发现安全问题” → 执行 cloudguard scan .
• “检查我的云配置是否存在错误配置” → 执行 cloudguard scan infra/
• “审计我的 AWS 基础设施代码” → 执行 cloudguard scan terraform/
• “在我 IaC 中查找公开的 S3 存储桶” → 执行 cloudguard scan .

专业版（$19/用户/月 —— 需设置 CLOUDGUARD_LICENSE_KEY）

cloudguard scan [文件|目录]（专业版 —— 启用 60 种模式）

完整扫描，启用全部 6 个安全类别的共 60 种模式，覆盖深度更广。

bash "/scripts/dispatcher.sh" --path [目标路径] --tier pro

cloudguard hooks install

安装 Git 预提交钩子，在每次提交前自动扫描暂存区中的 IaC 文件，检测云安全问题。

执行方式：

bash "/scripts/dispatcher.sh" hooks install

功能说明：

1. 验证专业版及以上许可证有效性
2. 将 lefthook 配置复制至项目根目录
3. 安装 lefthook 的 pre-commit 与 pre-push 钩子
4. 每次提交时：扫描所有暂存的 IaC 文件；若发现关键/高危问题，则阻断提交，并展示修复建议

cloudguard hooks uninstall

移除 CloudGuard 的 Git 钩子。

bash "/scripts/dispatcher.sh" hooks uninstall

cloudguard report [目录]

生成 Markdown 格式的云安全报告，含问题详情、严重性分布、分类分析及修复步骤。

bash "/scripts/dispatcher.sh" --path [目录] --format text report

功能说明：

1. 验证专业版及以上许可证有效性
2. 使用 60 种模式对指定目录执行完整扫描
3. 基于模板生成格式化 Markdown 报告
4. 包含各分类维度的详细分解、云安全总分、修复优先级排序
5. 输出内容适用于安全评审与合规性审计

cloudguard audit [目录]

面向全部 6 类安全领域的深度云安全审计。

bash "/scripts/dispatcher.sh" --path [目录] audit

功能说明：

1. 验证专业版及以上许可证有效性
2. 使用扩展的检测模式集执行全面扫描
3. 提供各分类维度的严重性分析
4. 报告 S3、IAM、网络、加密、日志、配置等方面的合规性缺口

团队版（$39/用户/月 —— 需使用团队版 CLOUDGUARD_LICENSE_KEY）

cloudguard scan [文件|目录]（团队版 —— 启用全部 90 种模式）

完整扫描，启用全部 90 种检测模式。

bash "/scripts/dispatcher.sh" --path [目标路径] --tier team

cloudguard scan --format json [目录]

输出 JSON 格式结果，便于 CI/CD 流水线集成。

bash "/scripts/dispatcher.sh" --path [目录] --format json

功能说明：

1. 验证团队版及以上许可证有效性
2. 使用全部 90 种模式执行完整扫描
3. 以结构化 JSON 格式输出检测结果
4. 兼容 CI/CD 流水线、仪表盘及自动化工具
5. 包含规则定义、严重性映射关系及分类统计信息

cloudguard scan --format html [目录]

输出 HTML 格式报告，便于向利益相关方共享。

bash "/scripts/dispatcher.sh" --path [目录] --format html

cloudguard scan --category [类别] [目录]

按类别筛选扫描，用于聚焦式审计。

bash "/scripts/dispatcher.sh" --path [目录] --category S3

功能说明：

1. 验证团队版及以上许可证有效性
2. 仅运行指定类别的检测模式
3. 支持类别代码：S3、IM、NW、EN、LG、CF
4. 适用于针对性合规检查

cloudguard status

显示许可证与配置信息。

bash "/scripts/dispatcher.sh" status

检测类别

CloudGuard 在以下 6 个类别中共检测 90 种云安全模式：

严重性等级

评分体系

CloudGuard 使用 0–100 分制评分系统：

• 起始分：100 分（理想状态，无任何问题）
• 扣分规则：每项发现依据其严重性扣除对应分数
• 下限：得分不低于 0
• 通过阈值：70 分（退出码为 0）
• 失败阈值：低于 70 分（退出码为 1）

评级标准

按版本划分的模式启用范围

配置

用户可在 ~/.openclaw/openclaw.json 中配置 CloudGuard：

{
  "skills": {
    "entries": {
      "cloudguard": {
        "enabled": true,
        "apiKey": "YOUR_LICENSE_KEY_HERE",
        "config": {
          "severityThreshold": "high",
          "ignorePatterns": ["**/test/**", "**/examples/**", "**/fixtures/**"],
          "ignoreChecks": [],
          "reportFormat": "text",
          "categories": ["S3", "IM", "NW", "EN", "LG", "CF"]
        }
      }
    }
  }
}

支持的文件类型

CloudGuard 支持对以下文件类型进行云安全模式扫描：

重要说明

• 免费版开箱即用，无需任何配置
• 所有扫描均在本地完成 —— 不会将任何代码发送至外部服务器
• 许可证校验完全离线 —— 不发起任何外网请求或“回传”行为
• 仅依赖正则匹配 —— 不解析 AST，除 bash 和 grep 外无其他外部依赖
• 支持单次扫描全部 IaC 文件类型
• Git 钩子依赖 lefthook，该工具需预先安装（参见上方安装说明）
• 退出码规范：0 = 通过（评分 ≥ 70）；1 = 失败（评分 < 70，适用于 CI/CD 集成）
• 按类别拆解的结果可精准定位安全缺口所在位置

错误处理

• 若未安装 lefthook 而用户尝试执行 hooks install，提示用户安装
• 若许可证密钥无效或已过期，显示清晰错误信息并附上链接：https://cloudguard.pages.dev/renew
• 若待扫描文件为二进制文件，自动跳过且不发出警告
• 若目标路径中未发现任何可扫描的 IaC 文件，则报告“干净扫描”，并附带提示信息
• 若使用 --category 指定了无效类别，列出所有支持的类别供参考
• 若系统中 grep 不支持 -E 标志（极罕见），优雅降级并输出明确错误信息

适用场景

用户可能提出如下请求：

• “扫描我的 Terraform 以发现安全问题”
• “检查我的云基础设施代码”
• “在我 IaC 中查找公开的 S3 存储桶”
• “审计我的 AWS 配置”
• “检查我的基础设施中是否缺失加密”
• “查找过于宽松的 IAM 策略”
• “扫描我的安全组中是否存在暴露的端口”
• “我的 CloudFormation 模板是否安全？”
• “检查我的 Kubernetes 清单是否存在安全问题”
• “执行一次云安全审计”
• “在我 Terraform 中查找缺失的 CloudTrail 配置”
• “检测 VPC 错误配置”
• “在我 IaC 中扫描硬编码的 region”
• “检查我的 EBS 卷是否已加密”
• “查找云资源中缺失的标签”
• “为云安全配置预提交钩子”
• “为我的团队生成一份云安全报告”