Checkov: fångar felkonfigurerad infrastrukturkod innan den mergas

Checkov, som underhålls av Bridgecrew under GitHub-projektet bridgecrewio/checkov, är ett statiskt analysverktyg med öppen källkod som skannar infrastruktur-som-kod — Terraform, Terraform-planer, Kubernetes-manifest, CloudFormation, Helm-chart, Bicep och flera andra format — efter säkerhets- och efterlevnadsfel innan infrastrukturen någonsin provisioneras.

Var det passar i en MSP-pipeline

Checkovs naturliga hem är pull-request-CI: kör det mot en Terraform-plan eller ett Kubernetes-manifest som en del av merge-kontrollen och behandla ett policyfel som en merge-blockerare snarare än en varning att åtgärda senare. Dess kontroller är grafbaserade, vilket innebär att de kan verifiera relationer mellan resurser — till exempel att en EC2-instans faktiskt är ansluten till ett nätverksgränssnitt i ett VPC-avgränsat subnät — snarare än att bara inspektera en resurs attribut isolerat. Det gör också grundläggande hemlighetsdetektering, känner igen kända autentiseringsformat som AWS-åtkomstnycklar och flaggar högentropisträngar som ser ut som slumpmässiga hemligheter.

Ett annat spår än containerskanning

Det är värt att vara precis om vad Checkov inte är: det skannar inte containeravbilder eller beroenden av programpaket med öppen källkod efter kända CVE:er — det är jobbet för verktyg som Grype eller OSV-Scanner, som de flesta MSP:er sannolikt redan kör någonstans i sin pipeline. Checkovs spår är konfigurationsstatus i själva infrastrukturkoden, innan någon molnresurs existerar att skanna. Att köra båda är kompletterande, inte redundant.

CLI:et är gratis under Apache 2.0-licensen utan skanningsbegränsningar eller telemetrigrind på resultat, och levereras med officiella integrationer för GitHub Actions, GitLab och JetBrains IDE:er, så att lägga till det i en befintlig pipeline är i stort sett en fråga om att koppla in åtgärden snarare än att ställa upp ny infrastruktur. För MSP:er som kör IaC på uppdrag av kunder är en fail-closed Checkov-grind i CI ett billigt sätt att fånga en offentlig S3-bucket eller en alltför tillåtande säkerhetsgrupp innan den någonsin tillämpas.

Källor: GitHub — bridgecrewio/checkov.