main.tfaws_s3_bucket.acl+ "private"
Seguro del código a la nube.
Producto estrella
VibeDefend
Aprende las reglas de tu proyecto, vigila cada prompt y deja que el agente escriba código seguro desde el principio.
Agentes de IA
Escáneres
- AI SASTAnálisis estático con reachability
- SCADependencias + riesgo de licencias
- Detección de secretosDetecta tokens filtrados antes del commit
- Cumplimiento de licenciasRiesgo de licencias open source, clasificado
- AI IaCTerraform · Cloudformation · Ansible · K8s
- Seguridad de contenedoresEscaneo de imágenes + contexto en runtime
- AI CI/CDGitHub Actions · GitLab CI · Jenkinsfile · Tekton
- AI-BOMAI Bill of Materials · EU AI Act + NIST AI RMF
Configs inseguras detectadas antes de prod.
Nuestros packs de reglas se ejecutan en cada push. El triaje con IA descarta el ruido y el autofix llega a tu PR.
high · blocked before applyPublic ACL on aws_s3_bucket.dataiac/aws/s3-public-acl · CKV_AWS_20
resource "aws_s3_bucket" "data" { bucket = "customer-pii" acl = "public-read" acl = "private" versioning { enabled = false enabled = true }}resource "aws_s3_bucket_public_access_block" "data" { bucket = aws_s3_bucket.data.id block_public_acls = true restrict_public_buckets = true}
El tráfico pasa por el ALB hacia la API y la base de datos. El plan se está leyendo.aws_s3_bucket.data es público: cualquiera en internet puede leer customer-pii, rodeando la VPC.Veredicto: gravedad alta. El apply queda bloqueado, el hallazgo lleva la regla y las tres líneas.La corrección llega a main.tf: ACL privada, versionado activado, un public access block en el bucket.Plan limpio, 0 hallazgos. El bucket es privado antes de aplicar nada.
Capacidades
Tus archivos, leídos en cada push.
Terraform, CloudFormation, Kubernetes, Pulumi, Ansible y CDKTF, con triaje por IA incluido.
template.yamlAWS::PubliclyAccessible+ falsedeployment.yamlkind: DeploymentrunAsNonRoot+ truevalues.yamlservice.service.site.ymlufw: port 22ssh_allowed_cidr+ 10.0.0.0/8CIS Benchmarks (AWS, Azure, GCP, Kubernetes), NIST 800-53 y 800-171, AWS Well-Architected.
Por qué elegir CybeDefend
Seguridad en la nube sin montañas de alertas.
Nuestra IA lee cada alerta antes que tu equipo.
Lo que te devuelve el escáner
- highIAM policy allows Action "*"
prod/iam.tf:12 - lowS3 bucket has no tags
S3 bucket has no tagstemplate.yaml:9 - mediumPort 5432 open to 0.0.0.0/0
rds.tf:21 - highIAM policy allows Action "*"
staging/iam.tf:12 - mediumDeployment has no securityContext
deployment.yaml:18 - lowIngress has no TLS
Ingress has no TLSvalues-test.yaml:7 - highIAM policy allows Action "*"
dev/iam.tf:12
Lo que recibe tu equipo
- highLa base de datos de pedidos está abierta a internet
rds.tf:21 · aws_db_instance.orderssubida de medium a high - highEl rol de despliegue puede hacer cualquier cosa en AWS
prod, staging, dev · iam.tf:123 alertas agrupadas en una - mediumEl contenedor de la API puede ejecutarse como root
deployment.yaml:18 · Deployment/api
Descartadas como ruido: un bucket sin tags y un ingress que solo se usa en pruebas.
Enviada a
Jira
GitHub Issues
GitLab Issues
Slack
JiraGitHub IssuesGitLab IssuesSlack- Descarta el ruido
- Agrupa los duplicados
- Prioriza lo realmente expuesto
En cada push, o cuando quieras
acme/platform-infra$ git push origin feat/orders-dbrds: open orders db to the peering vpc
Escaneado en nuestros pods
- terraformread
- kubernetesread
- helmread
1 high · aws_db_instance.orders
El veredicto vuelve
- dashboardhigh
- MCPMCP serververdict served
- CIGitHub Actions · GitLab CIgate · blocked
Los hallazgos aparecen en el dashboard unificado, junto a los de SAST, SCA, secretos, CI/CD y contenedores.
Cómo funciona,
en detalle.
La documentación explica la instalación, la configuración y cada opción.
Leer la documentaciónen inglésCode Scanning / Scanning Options
Code Repository Scanning
Checkov, KICS y Trivy dentro del CybeDefend Engine, de Terraform y CloudFormation a Helm y Kubernetes.
2. Infrastructure as Code (IAC) Security
FAQ
Preguntas frecuentes sobre CybeDefend IaC.
¿Qué frameworks de IaC y qué nubes cubre CybeDefend?
Terraform (HCL y JSON), CloudFormation, AWS CDK, Pulumi (TypeScript, Python, Go, .NET), CDKTF, manifiestos de Kubernetes, charts de Helm, Kustomize y playbooks de Ansible. Packs de reglas específicos de cada nube para AWS, GCP, Azure, DigitalOcean, Hetzner, Scaleway y OVH.
¿Cómo se lanza el escaneo?
Conecta GitHub o GitLab una sola vez. A partir de ahí, cada push inicia un escaneo en nuestros pods, y también puedes lanzar escaneos bajo demanda desde el dashboard o la CLI. Los hallazgos llegan al dashboard unificado, junto a los de SAST, SCA, secretos, CI/CD y contenedores.
¿Cómo es el autofix?
Cybe AutoFix propone un parche adaptado al framework: un diff de Terraform para un S3 mal configurado, un parche en el manifiesto de Kubernetes cuando falta el securityContext, un cambio de variable de Ansible para un puerto abierto. Cada parche llega como una PR de Cybe AutoFix lista para revisar y hacer merge.
Instala VibeDefend en 5 segundos.
Un solo comando conecta a CybeDefend todos los agentes de programación de tu máquina: tus reglas de negocio, tus marcos normativos y protecciones que bloquean las acciones destructivas antes de que se ejecuten.
Instala en 5 segundosNode 18.17+
npx -y @cybedefend/vibedefend@latest installDetección automática
Claude Code
Cursor
OpenAI Codex
Windsurf
VS Code Copilot