checkov

Checkov هو أداة تحليل ثابت للشيفرة (static code analysis) للبنية التحتية كشيفرة (IaC)، وهو أيضًا أداة تحليل تكوين البرمجيات (SCA) للصور والحزم مفتوحة المصدر.

يقوم بفحص البنية التحتية السحابية المُجهَّزة باستخدام Terraform، وTerraform plan، وCloudformation، وAWS SAM، وKubernetes، وHelm charts، وKustomize، وDockerfile، وServerless، وBicep، وOpenAPI، وARM Templates، أو OpenTofu ويكتشف حالات سوء التكوين الأمنية والمتعلقة بالامتثال باستخدام الفحص القائم على الرسم البياني (graph-based scanning).

ويقوم بإجراء فحص تحليل تكوين البرمجيات (SCA)، وهو فحص للحزم مفتوحة المصدر والصور بحثًا عن الثغرات الشائعة والتعرضات (CVEs).

كما تشغّل Checkov أيضًا Prisma Cloud Application Security، وهي المنصة التي تضع المطورين في المقام الأول والتي تُقنِّن أمن السحابة وتُبسِّطه طوال دورة حياة التطوير. وتحدد Prisma Cloud حالات سوء التكوين في الموارد السحابية وملفات البنية التحتية كشيفرة، وتصلحها، وتمنعها.

جدول المحتويات

• الميزات
• لقطات الشاشة
• البدء
• إخلاء المسؤولية
• الدعم
• الترحيل - من الإصدار v2 إلى v3

الميزات

• أكثر من 1000 سياسة مدمجة تغطي أفضل ممارسات الأمان والامتثال لـ AWS وAzure وGoogle Cloud.
• يفحص ملفات قوالب Terraform وTerraform Plan وTerraform JSON وCloudFormation وAWS SAM وKubernetes وHelm وKustomize وDockerfile وإطار Serverless وAnsible وBicep وARM وOpenTofu.
• يفحص ملفات سير العمل Argo Workflows وAzure Pipelines وBitBucket Pipelines وCircle CI Pipelines وGitHub Actions وGitLab CI
• يدعم سياسات الوعي بالسياق بناءً على الفحص القائم على الرسم البياني في الذاكرة.
• يدعم صيغة Python لسياسات السمات وصيغة YAML لكل من سياسات السمات والسياسات المركّبة.
• يكتشف بيانات اعتماد AWS في EC2 Userdata ومتغيرات بيئة Lambda ومزوّدي Terraform.
• يحدد الأسرار باستخدام التعبيرات النمطية والكلمات المفتاحية والكشف القائم على الإنتروبيا.
• يقيّم إعدادات مزوّد Terraform لتنظيم إنشاء وإدارة وتحديث IaaS أو PaaS أو SaaS المُدارة عبر Terraform.
• تدعم السياسات تقييم المتغيرات إلى قيمتها الافتراضية الاختيارية.
• يدعم الكتم المضمّن للمخاطر المقبولة أو النتائج الإيجابية الكاذبة لتقليل حالات فشل الفحص المتكررة. كما يدعم التخطي العام باستخدام CLI.
• المخرجات متاحة حاليًا بصيغة CLI وCycloneDX وJSON وJUnit XML وCSV وSARIF وGitHub markdown مع رابط إلى أدلة المعالجة.

لقطات الشاشة

نتائج الفحص في CLI

نتيجة الفحص المجدول في Jenkins

البدء

المتطلبات

• Python >= 3.10, <=3.13
• Terraform >= 0.12

التثبيت

لتثبيت pip اتبع الوثائق الرسمية

pip3 install checkov

قد تتطلب بعض البيئات (مثل Debian 12) تثبيت Checkov في بيئة افتراضية

# Create and activate a virtual environment
python3 -m venv /path/to/venv/checkov
cd /path/to/venv/checkov
source ./bin/activate

# Install Checkov with pip
pip install checkov

# Optional: Create a symlink for easy access
sudo ln -s /path/to/venv/checkov/bin/checkov /usr/local/bin/checkov

أو باستخدام Homebrew (على macOS أو Linux)

brew install checkov

تمكين الإكمال التلقائي لـ bash

source <(register-python-argcomplete checkov)

الترقية

إذا قمت بتثبيت checkov باستخدام pip3

pip3 install -U checkov

أو باستخدام Homebrew

brew upgrade checkov

تكوين مجلد إدخال أو ملف

checkov --directory /user/path/to/iac/code

أو ملف محدد أو ملفات محددة