Checkov: detectar código de infraestructura mal configurado antes de fusionarlo

Checkov, mantenido por Prisma Cloud en el proyecto de GitHub bridgecrewio/checkov, es una herramienta de análisis estático de código abierto que analiza infraestructura como código — Terraform, planes de Terraform, manifiestos de Kubernetes, CloudFormation, gráficos de Helm, Bicep y varios otros formatos — en busca de configuraciones incorrectas de seguridad y cumplimiento antes de que esa infraestructura llegue a aprovisionarse.

Dónde encaja en la canalización de un MSP

El lugar natural de Checkov es la CI de las solicitudes de incorporación de cambios: ejecútelo contra un plan de Terraform o un manifiesto de Kubernetes como parte de la comprobación de fusión, y trate un fallo de política como un bloqueo de la fusión en lugar de una advertencia que corregir más tarde. Sus comprobaciones se basan en grafos, lo que significa que pueden verificar relaciones entre recursos en lugar de inspeccionar únicamente los atributos de un recurso de forma aislada. También realiza una detección básica de secretos, reconociendo formatos de credenciales conocidos, como las claves de acceso de AWS, y marcando cadenas de alta entropía que parecen secretos aleatorios.

Un carril distinto al del análisis de contenedores

Conviene ser precisos sobre lo que Checkov es: también analiza imágenes de contenedores y paquetes de código abierto en busca de CVE conocidos; esta función requiere un token de Prisma Cloud y conexión a Internet. El carril de configuración de Checkov es la postura de configuración del propio código de infraestructura, antes de que exista recurso alguno en la nube que analizar. Ejecutar ambas es complementario, no redundante.

La CLI está disponible bajo la licencia Apache 2.0. Para los MSP que ejecutan IaC en nombre de sus clientes, una puerta Checkov que falle en modo cerrado en la CI es una forma de detectar configuraciones incorrectas antes de que lleguen siquiera a aplicarse.

Fuentes: GitHub — bridgecrewio/checkov.