Checkov : détecter les erreurs de configuration du code d'infrastructure avant la fusion

Checkov, maintenu par Bridgecrew dans le cadre du projet GitHub bridgecrewio/checkov, est un outil d'analyse statique open source qui analyse le code d'infrastructure — Terraform, les plans Terraform, les manifestes Kubernetes, CloudFormation, les charts Helm, Bicep et plusieurs autres formats — pour détecter les mauvaises configurations de sécurité et de conformité avant que cette infrastructure ne soit provisionnée.

Sa place dans le pipeline d'un MSP

La place naturelle de Checkov est la CI des pull requests : exécutez-le sur un plan Terraform ou un manifeste Kubernetes dans le cadre de la vérification de fusion, et traitez un échec de politique comme un blocage de fusion plutôt que comme un avertissement à corriger plus tard. Ses vérifications sont basées sur des graphes, ce qui signifie qu'elles peuvent vérifier les relations entre les ressources — par exemple, qu'une instance EC2 est réellement attachée à une interface réseau dans un sous-réseau délimité par un VPC — plutôt que d'inspecter uniquement les attributs d'une ressource de manière isolée. Il effectue également une détection de base des secrets, en reconnaissant les formats d'identifiants connus tels que les clés d'accès AWS et en signalant les chaînes à forte entropie qui ressemblent à des secrets aléatoires.

Un chemin différent de l'analyse des conteneurs

Il convient d'être précis sur ce que Checkov n'est pas : il ne scanne pas les images de conteneurs ni les dépendances de paquets open source à la recherche de CVE connues — c'est le rôle d'outils comme Grype ou OSV-Scanner, que la plupart des MSP exécutent probablement déjà quelque part dans leur pipeline. Le domaine de Checkov est la posture de configuration dans le code d'infrastructure lui-même, avant qu'une ressource cloud n'existe pour être analysée. Exécuter les deux est complémentaire, et non redondant.

La CLI est gratuite sous licence Apache 2.0, sans limite d'analyse ni télémétrie conditionnant les résultats, et est livrée avec des intégrations officielles pour GitHub Actions, GitLab et les IDE JetBrains, de sorte que l'ajouter à un pipeline existant consiste essentiellement à câbler l'action plutôt qu'à mettre en place une nouvelle infrastructure. Pour les MSP qui exécutent de l'IaC pour le compte de clients, une porte Checkov fermée en cas d'échec dans la CI est un moyen peu coûteux de détecter un bucket S3 public ou un groupe de sécurité trop permissif avant qu'il ne soit appliqué.

Sources : GitHub — bridgecrewio/checkov.