Checkov: detectarea codului de infrastructură configurat greșit înainte de integrare

Checkov, întreținut de Bridgecrew în cadrul proiectului GitHub bridgecrewio/checkov, este un instrument open-source de analiză statică care scanează infrastructura ca cod — Terraform, planuri Terraform, manifeste Kubernetes, CloudFormation, charturi Helm, Bicep și alte câteva formate — pentru configurații greșite de securitate și conformitate înainte ca acea infrastructură să fie efectiv provisionată.

Unde se potrivește în pipeline-ul unui MSP

Locul natural al Checkov este CI-ul de pull request: rulează-l împotriva unui plan Terraform sau a unui manifest Kubernetes ca parte a verificării de integrare și tratează o eroare de politică drept un blocaj al integrării, nu un avertisment de rezolvat mai târziu. Verificările sale sunt bazate pe grafuri, ceea ce înseamnă că pot verifica relațiile dintre resurse — de exemplu, că o instanță EC2 este într-adevăr atașată la o interfață de rețea dintr-o subrețea delimitată de VPC — în loc să inspecteze doar atributele unei singure resurse în mod izolat. De asemenea, efectuează o detectare de bază a secretelor, recunoscând formate cunoscute de credențiale, cum ar fi cheile de acces AWS, și semnalând șiruri cu entropie ridicată care arată ca secrete aleatorii.

Un palier diferit față de scanarea containerelor

Merită să fim preciși cu privire la ceea ce Checkov nu este: nu scanează imagini de container sau dependențe open-source de pachete pentru CVE-uri cunoscute — aceasta este treaba unor instrumente precum Grype sau OSV-Scanner, pe care majoritatea MSP-urilor probabil le rulează deja undeva în pipeline-ul lor. Palierul Checkov este postura de configurare din codul de infrastructură în sine, înainte ca vreo resursă cloud să existe pentru a fi scanată. Rularea ambelor este complementară, nu redundantă.

CLI-ul este gratuit sub licența Apache 2.0, fără limite de scanare sau restricții de telemetrie asupra rezultatelor, și vine cu integrări oficiale pentru GitHub Actions, GitLab și IDE-urile JetBrains, astfel încât adăugarea lui într-un pipeline existent este în mare parte o chestiune de conectare a acțiunii, nu de ridicare a unei infrastructuri noi. Pentru MSP-urile care rulează IaC în numele clienților, o poartă Checkov de tip fail-closed în CI este o modalitate ieftină de a prinde un bucket S3 public sau un grup de securitate excesiv de permisiv înainte ca acesta să fie vreodată aplicat.

Surse: GitHub — bridgecrewio/checkov.