Terraform è un software infrastructure-as-code che consente ai team di definire risorse cloud in file di configurazione dichiarativi. Invece di fare clic in una console, gli operatori descrivono lo stato desiderato di server, reti, database e autorizzazioni, e Terraform confronta tale stato con quello esistente prima di creare o modificare le risorse. Usa provider per comunicare con le piattaforme cloud e può anche utilizzare moduli riutilizzabili provenienti dai registry.
Nella sicurezza informatica, Terraform è importante perché controlla infrastrutture ad alta fiducia: ruoli IAM, confini di rete, gestione dei segreti e percorsi di distribuzione. Se un attaccante può alterare un modulo, un provider o un percorso del registry, può influenzare il modo in cui gli ambienti vengono predisposti, esposti o inizializzati. Per questo i registry compromessi e gli input di build manomessi sono pericolosi nei flussi di lavoro di Terraform. I difensori riducono il rischio revisionando le modifiche di configurazione, fissando le versioni, proteggendo i file di stato, limitando le origini del registry e usando mirror o registry privati quando l'integrità a monte non è certa.