Bitbucket Security: Infrastructure-as-Code-Sicherheitsscanner

Scannt Ihre Infrastructure-as-Code-Konfigurationsdateien, um gute Sicherheitspraktiken sicherzustellen. Erstellt einen Sicherheits-Code Insights-Bericht, wenn ein Problem gefunden wird.

Diese von Bitbucket Cloud unterstützte Pipe nutzt das branchenführende Scan-Tool KICS, um Bitbucket-Kunden IaC-Scanning-Funktionen bereitzustellen. Weitere Informationen finden Sie im Abschnitt Details und Beispiele.

YAML-Definition

Fügen Sie den folgenden Ausschnitt zum Skriptabschnitt Ihrer Datei bitbucket-pipelines.yml hinzu:

- pipe: atlassian/bitbucket-iac-scan:0.5.2
  variables:
    FILES_TO_SCAN_PATH: '<string>'
    # SCAN_EXTRA_ARGS: '<array>' # Optional.
    # CONFIG_PATH: '<string>' # Optional.
    # CREATE_REPORT: "<boolean>" # Optional. Default: `true`
    # FAIL_ON: "<integer>" # Optional.
    # DEBUG: "<boolean>" # Optional. Default: `false`

Variablen

Variable	Verwendung
FILES_TO_SCAN_PATH (*)	Zu scannende Dateien oder Verzeichnisse, durch `,` getrennt. Beispiel: "./path_to_dir,path_to_file.txt".
SCAN_EXTRA_ARGS	Zusätzliche Optionen, die an die KICS-Scan-Befehle übergeben werden. Wenn das Argument -p übergeben wird, erweitert es die in der Variable `FILES_TO_SCAN_PATH` angegebenen Dateien oder Verzeichnisse. Wenn das Argument --config übergeben wird, wird es zugunsten der Variable `CONFIG_PATH` ignoriert.
CONFIG_PATH	Pfad zur KICS-Konfigurationsdatei. Alternative zur Variable `SCAN_EXTRA_ARGS`. Wenn das Schlüsselwort `path` innerhalb der Konfigurationsdatei angegeben wird, wird es zugunsten der Variable `FILES_TO_SCAN_PATH` ignoriert.
CREATE_REPORT	Steuert, ob die Pipe Bitbucket-CodeInsights-Berichte unter Verwendung der Ergebnisse der KICS-Ausführung erstellt. Standard: `true`.
FAIL_ON	Der Schwellenwert des [Ergebnisstatuscodes][result status code] des KICS-Scanners, bei dem die Pipe einen Fehler auslösen soll.
DEBUG	Zusätzliche Debug-Informationen aktivieren. Standard: `false`.

(*) = erforderliche Variable.

Zusätzliche Optionen

Bei Bedarf können Benutzer ihre Scans verbessern, indem sie Optionen aus dem Scan-Befehl mit der Variable SCAN_EXTRA_ARGS einbinden.

Darüber hinaus haben Benutzer die Möglichkeit, eine benutzerdefinierte KICS-Konfigurationsdatei zu erstellen und bereitzustellen, die in der bitbucket-iac-scan-Pipe über die Variable CONFIG_PATH angewendet wird. Diese Konfigurationsdatei dient als Alternative zur Verwendung von SCAN_EXTRA_ARGS. Nach der Erstellung einer benutzerdefinierten KICS-Konfiguration sollte diese im Repository des Benutzers gespeichert werden. Dort wird die Pipeline mit einer bitbucket-iac-scan-Pipe ausgelöst.

Wenn sowohl die Variablen SCAN_EXTRA_ARGS als auch CONFIG_PATH mit doppelten Argumenten angegeben werden, haben die Argumente aus der Variable SCAN_EXTRA_ARGS eine höhere Priorität.

Beispiele

Einfache Beispiele:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir

Durchsuchen Sie die Quellen, und die Pipe sollte fehlschlagen, wenn der [Ergebnis-Statuscode][result status code] des KICS-Scanners größer oder gleich dem angegebenen Schwellenwert ist.

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      FAIL_ON: 40

Fortgeschrittene Beispiele:

Beispiel mit einer kics-Konfiguration, die in der Pipeline verwendet werden kann:

kics-config.json. Der Schlüssel path wird ignoriert

{
  "path": "assets/iac_samples",
  "verbose": true,
  "log-file": true,
  "type": "Dockerfile,Kubernetes",
  "queries-path": "assets/queries",
  "exclude-paths": [
     "foo/",
     "bar/"
  ],
  "output-path": "results"
}

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      CONFIG_PATH: kics-config.json

Beispiel mit Scan-Optionen:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      SCAN_EXTRA_ARGS:
        - "--disable-secrets"
        - "--type=Dockerfile"

Erstellen Sie keinen CodeInsights-Bericht:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      CREATE_REPORT: 'false'

Support

Wenn du Hilfe bei dieser Pipe benötigst oder ein Problem bzw. einen Feature-Wunsch hast, lass es uns in der Community wissen.

Wenn du ein Problem meldest, gib bitte Folgendes an:

die Version der Pipe
relevante Logs und Fehlermeldungen
Schritte zur Reproduktion

bitbucket-iac-scan

Beliebteste