Checkov est un outil open-source de sécurité statique pour l'infrastructure as code (IaC). Il permet d'analyser les fichiers de configuration d'infrastructure (comme Terraform, CloudFormation, Kubernetes, etc.) pour identifier les vulnérabilités de sécurité, les mauvaises pratiques et les non-conformités aux politiques de sécurité. Checkov est particulièrement utile pour les équipes DevOps et de sécurité qui souhaitent intégrer des vérifications de sécurité dans leur processus de développement.
Présentation de Checkov
Qu'est-ce que Checkov ?
Checkov est un outil de sécurité statique qui vous permet de :
- Analyser les fichiers de configuration d'infrastructure : Identifier les vulnérabilités de sécurité et les mauvaises pratiques.
- Intégrer des vérifications de sécurité : Intégrer des vérifications de sécurité dans le processus de développement.
- Générer des rapports : Produire des rapports détaillés sur les vulnérabilités identifiées.
Installation de Checkov
Pour installer Checkov, vous pouvez utiliser pip :
pip install checkov
Exemples de Ligne de Commande
Voici quelques exemples de commandes avancées pour utiliser Checkov.
Analyser un Fichier Terraform
Pour analyser un fichier Terraform spécifique :
checkov -f my_terraform_file.tf
Analyser un Répertoire Terraform
Pour analyser tous les fichiers Terraform dans un répertoire et ses sous-répertoires :
checkov -d my_terraform_directory
Analyser un Fichier CloudFormation
Pour analyser un fichier CloudFormation spécifique :
checkov -f my_cloudformation_file.yaml
Analyser un Répertoire Kubernetes
Pour analyser tous les fichiers Kubernetes dans un répertoire et ses sous-répertoires :
checkov -d my_kubernetes_directory
Générer un Rapport JSON
Pour générer un rapport JSON des vulnérabilités identifiées :
checkov -d my_terraform_directory --output json > report.json
Générer un Rapport CSV
Pour générer un rapport CSV des vulnérabilités identifiées :
checkov -d my_terraform_directory --output csv > report.csv
Exclure des Tests Spécifiques
Pour exclure des tests spécifiques (par exemple, CKV_AWS_1 pour une règle AWS) :
checkov -d my_terraform_directory --skip-check CKV_AWS_1
Configurer des Paramètres de Sécurité
Pour configurer des paramètres de sécurité spécifiques, vous pouvez utiliser un fichier de configuration YAML. Par exemple, pour ignorer certaines lignes ou fichiers :
# .checkov.yaml skip-check: - CKV_AWS_1 - CKV_AWS_2
Ensuite, exécutez Checkov avec le fichier de configuration :
checkov -d my_terraform_directory --config-file .checkov.yaml
Intégrer Checkov dans un Pipeline CI/CD
Pour intégrer Checkov dans un pipeline CI/CD, vous pouvez ajouter une étape de vérification de sécurité dans votre fichier de configuration CI/CD. Par exemple, pour GitHub Actions, vous pouvez ajouter une étape comme suit :
name: Checkov Security Check
on: [push, pull_request]
jobs:
checkov:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v2
- name: Set up Python
uses: actions/setup-python@v2
with:
python-version: '3.x'
- name: Install Checkov
run: pip install checkov
- name: Run Checkov
run: checkov -d . --output json > checkov-report.json
- name: Upload Checkov Report
uses: actions/upload-artifact@v2
with:
name: checkov-report
path: checkov-report.json
Conclusion
Checkov est un outil puissant pour identifier les vulnérabilités de sécurité dans les fichiers de configuration d'infrastructure. En utilisant Checkov, vous pouvez automatiser et simplifier les vérifications de sécurité dans votre processus de développement. Ces exemples de commandes vous donnent un bon point de départ pour commencer à utiliser Checkov.
