Checkov: detetar código de infraestrutura mal configurado antes do merge

O Checkov, mantido pela Prisma Cloud no projeto GitHub bridgecrewio/checkov, é uma ferramenta open-source de análise estática que analisa infraestrutura como código — Terraform, planos do Terraform, manifestos Kubernetes, CloudFormation, Helm charts, Bicep e vários outros formatos — em busca de configurações incorretas de segurança e conformidade antes de essa infraestrutura ser provisionada.

Onde se insere no pipeline de um MSP

O habitat natural do Checkov é o CI de pull requests: execute-o contra um plano do Terraform ou um manifesto Kubernetes como parte da verificação de merge e trate uma falha de política como um bloqueador de merge em vez de um aviso para corrigir mais tarde. As verificações do Checkov são baseadas em grafos, o que significa que conseguem verificar relações entre recursos em vez de inspecionarem apenas os atributos de um recurso isoladamente. Também efetua uma deteção básica de segredos, reconhecendo formatos de credenciais conhecidos, como chaves de acesso AWS, e assinalando cadeias de elevada entropia que parecem segredos aleatórios.

Análise de configuração e de contentores

O Checkov também analisa imagens de contentores e dependências de pacotes open-source em busca de CVEs conhecidos. Uma via do Checkov é a postura de configuração no próprio código de infraestrutura, antes de existir qualquer recurso de nuvem para analisar.

A CLI é gratuita ao abrigo da licença Apache 2.0. Para os MSP que executam IaC em nome dos clientes, um gate fail-closed do Checkov no CI é uma forma de detetar configurações incorretas antes de estas serem aplicadas.

Fontes: GitHub — bridgecrewio/checkov.