Checkov: wyłapywanie błędnej konfiguracji kodu infrastruktury przed scaleniem

Checkov, utrzymywany przez Prisma Cloud w ramach projektu GitHub bridgecrewio/checkov, to otwartoźródłowe narzędzie do analizy statycznej, które skanuje infrastrukturę jako kod — Terraform, plany Terraform, manifesty Kubernetes, CloudFormation, wykresy Helm, Bicep i kilka innych formatów — pod kątem błędnych konfiguracji bezpieczeństwa i zgodności, zanim ta infrastruktura zostanie w ogóle udostępniona.

Gdzie pasuje w potoku MSP

Naturalnym miejscem dla Checkova jest CI pull requestów: uruchamiaj go na planie Terraform lub manifeście Kubernetes w ramach kontroli scalania i traktuj niepowodzenie polityki jako blokadę scalania, a nie ostrzeżenie do naprawienia później. Jego kontrole są oparte na grafach, co oznacza, że mogą weryfikować relacje między zasobami zamiast sprawdzać atrybuty jednego zasobu w izolacji. Wykonuje również podstawowe wykrywanie sekretów, rozpoznając znane formaty poświadczeń, takie jak klucze dostępu AWS, i oznaczając ciągi o wysokiej entropii, które wyglądają na losowo wygenerowane sekrety.

Skanowanie kontenerów i kodu infrastruktury

Warto precyzyjnie określić, czym Checkov jest: skanuje obrazy kontenerów i pliki pakietów open source pod kątem znanych CVE, choć ta funkcja wymaga tokenu API Prisma Cloud i połączenia z internetem. Obszarem Checkova jest także postawa konfiguracyjna w samym kodzie infrastruktury, zanim jakikolwiek zasób chmurowy powstanie i będzie można go zeskanować.

Kod źródłowy Checkova jest udostępniany na licencji Apache 2.0. Dla MSP uruchamiających IaC w imieniu klientów, zamykająca się przy błędzie bramka Checkova w CI to sposób na wyłapanie błędnych konfiguracji, zanim zostaną kiedykolwiek zastosowane.

Źródła: GitHub — bridgecrewio/checkov.