Checkov: verkeerd geconfigureerde infrastructuurcode onderscheppen vóór de merge

Checkov, onderhouden door Bridgecrew onder het bridgecrewio/checkov GitHub-project, is een open-source statische analysetool die infrastructure-as-code scant — Terraform, Terraform-plannen, Kubernetes-manifests, CloudFormation, Helm-charts, Bicep en diverse andere formaten — op beveiligings- en compliance-misconfiguraties voordat die infrastructuur ooit wordt geprovisioneerd.

Waar het past in de pipeline van een MSP

Checkovs natuurlijke plek is pull-request-CI: draai het tegen een Terraform-plan of een Kubernetes-manifest als onderdeel van de merge-check, en behandel een policy-fout als een merge-blokkade in plaats van een waarschuwing om later op te lossen. De checks zijn graafgebaseerd, wat betekent dat ze relaties tussen resources kunnen verifiëren — bijvoorbeeld dat een EC2-instantie daadwerkelijk is gekoppeld aan een netwerkinterface binnen een VPC-gebonden subnet — in plaats van alleen de attributen van één resource geïsoleerd te inspecteren. Het doet ook basisdetectie van geheimen, herkent bekende credential-formaten zoals AWS access keys en markeert high-entropy strings die eruitzien als willekeurig gegenereerde geheimen.

Een ander spoor dan containerscanning

Het is de moeite waard om precies te zijn over wat Checkov niet is: het scant geen containerimages of open-source package-afhankelijkheden op bekende CVEs — dat is de taak van tools zoals Grype of OSV-Scanner, die de meeste MSP's waarschijnlijk al ergens in hun pipeline draaien. Checkovs spoor is configuratiepostuur in de infrastructuurcode zelf, voordat er een cloudresource bestaat om te scannen. Beide draaien is complementair, niet overbodig.

De CLI is gratis onder de Apache 2.0-licentie zonder scanlimieten of telemetrie-poort op resultaten, en wordt geleverd met officiële integraties voor GitHub Actions, GitLab en JetBrains-IDE's, dus toevoegen aan een bestaande pipeline is grotendeels een kwestie van de action aansluiten in plaats van nieuwe infrastructuur opzetten. Voor MSP's die IaC namens klanten draaien, is een fail-closed Checkov-poort in CI een goedkope manier om een publieke S3-bucket of een te permissieve security group te vangen voordat die ooit wordt toegepast.

Bronnen: GitHub — bridgecrewio/checkov.