checkov

कोड के रूप में बुनियादी ढांचे के लिए स्थैतिक विश्लेषण उपकरण जो निर्माण-समय के दौरान Terraform, Kubernetes, CloudFormation और कंटेनर इमेज में क्लाउड गलत कॉन्फ़िगरेशन, कमजोरियां और गुप्त जानकारी का पता लगाता है।

Checkov इंफ्रास्ट्रक्चर ऐज़ कोड (IaC) के लिए एक स्थैतिक कोड विश्लेषण उपकरण है और इमेज और ओपन सोर्स पैकेजों के लिए एक सॉफ्टवेयर संरचना विश्लेषण (SCA) उपकरण भी है।

यह Terraform, Terraform plan, Cloudformation, AWS SAM, Kubernetes, Helm charts, Kustomize, Dockerfile, Serverless, Bicep, OpenAPI, ARM Templates, या OpenTofu का उपयोग करके प्रावधानित क्लाउड इंफ्रास्ट्रक्चर को स्कैन करता है और ग्राफ-आधारित स्कैनिंग का उपयोग करके सुरक्षा और अनुपालन गलत कॉन्फ़िगरेशन का पता लगाता है।

यह सॉफ्टवेयर संरचना विश्लेषण (SCA) स्कैनिंग करता है जो सामान्य कमजोरियों और एक्सपोज़र (CVE) के लिए ओपन सोर्स पैकेज और इमेज का स्कैन है।

Checkov Prisma Cloud Application Security को भी संचालित करता है, जो डेवलपर-प्रथम प्लेटफ़ॉर्म है जो विकास जीवनचक्र में क्लाउड सुरक्षा को संहिताबद्ध और सुव्यवस्थित करता है। Prisma Cloud क्लाउड संसाधनों और इंफ्रास्ट्रक्चर-ऐज़-कोड फ़ाइलों में गलत कॉन्फ़िगरेशन की पहचान करता है, उन्हें ठीक करता है और रोकता है।

विषय सूची

• विशेषताएँ
• स्क्रीनशॉट
• आरंभ करना
• अस्वीकरण
• समर्थन
• माइग्रेशन - v2 से v3

विशेषताएँ

• AWS, Azure और Google Cloud के लिए सुरक्षा और अनुपालन सर्वोत्तम प्रथाओं को कवर करने वाली 1000 से अधिक अंतर्निहित नीतियां।
• Terraform, Terraform Plan, Terraform JSON, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfile, Serverless framework, Ansible, Bicep, ARM, और OpenTofu टेम्पलेट फ़ाइलों को स्कैन करता है।
• Argo Workflows, Azure Pipelines, BitBucket Pipelines, Circle CI Pipelines, GitHub Actions और GitLab CI वर्कफ़्लो फ़ाइलों को स्कैन करता है।
• इन-मेमोरी ग्राफ-आधारित स्कैनिंग पर आधारित संदर्भ-जागरूकता नीतियों का समर्थन करता है।
• एट्रीब्यूट नीतियों के लिए Python प्रारूप और एट्रीब्यूट और कम्पोजिट दोनों नीतियों के लिए YAML प्रारूप का समर्थन करता है।
• EC2 Userdata, Lambda पर्यावरण चर और Terraform प्रदाताओं में AWS क्रेडेंशियल का पता लगाता है।
• रेगुलर एक्सप्रेशन, कीवर्ड और एंट्रॉपी-आधारित डिटेक्शन का उपयोग करके रहस्यों की पहचान करता है।
• Terraform के माध्यम से प्रबंधित IaaS, PaaS या SaaS के निर्माण, प्रबंधन और अद्यतन को नियंत्रित करने के लिए Terraform Provider सेटिंग्स का मूल्यांकन करता है।
• नीतियां चरों के वैकल्पिक डिफ़ॉल्ट मान तक मूल्यांकन का समर्थन करती हैं।
• बार-बार होने वाली स्कैन विफलताओं को कम करने के लिए स्वीकृत जोखिमों या गलत-सकारात्मक के इन-लाइन दमन का समर्थन करता है। CLI का उपयोग करके वैश्विक छोड़ने का भी समर्थन करता है।
• आउटपुट वर्तमान में CLI, CycloneDX, JSON, JUnit XML, CSV, SARIF और GitHub मार्कडाउन के रूप में उपलब्ध है और सुधार गाइड के लिंक के साथ।

स्क्रीनशॉट

CLI में स्कैन परिणाम

जेनकिंस में निर्धारित स्कैन परिणाम

आरंभ करना

आवश्यकताएँ

• Python >= 3.9, <=3.12
• Terraform >= 0.12

स्थापना

pip स्थापित करने के लिए आधिकारिक दस्तावेज़ का पालन करें```sh pip3 install checkov

या Homebrew (macOS या Linux)```sh brew install checkov

अपग्रेड

यदि आपने pip3 के साथ checkov स्थापित किया है```sh pip3 install -U checkov

इनपुट फ़ोल्डर या फ़ाइल कॉन्फ़िगर करें```sh

checkov --directory /user/path/to/iac/code

या```sh checkov -f /user/cloudformation/example1.yml -f /user/cloudformation/example2.yml

नोट: terraform show आउटपुट फ़ाइल tf.json एक एकल पंक्ति होगी। उस कारण से सभी निष्कर्ष Checkov द्वारा पंक्ति संख्या 0 पर रिपोर्ट किए जाएंगे```sh check: CKV_AWS_21: "Ensure all data stored in the S3 bucket have versioning enabled" FAILED for resource: aws_s3_bucket.customer File: /tf/tf.json:0-0 Guide: https://docs.prismacloud.io/en/enterprise-edition/policy-reference/aws-policies/s3-policies/s3-16-enable-versioning

स्कैन परिणाम अधिक उपयोगकर्ता अनुकूल होगा।```sh checkov -f tf.json Check: CKV_AWS_21: "Ensure all data stored in the S3 bucket have versioning enabled" FAILED for resource: aws_s3_bucket.customer File: /tf/tf1.json:224-268 Guide: https://docs.prismacloud.io/en/enterprise-edition/policy-reference/aws-policies/s3-policies/s3-16-enable-versioning

स्कैन परिणाम नमूना (CLI)```sh

Passed Checks: 1, Failed Checks: 1, Suppressed Checks: 0 Check: "Ensure all data stored in the S3 bucket is securely encrypted at rest" /main.tf: Passed for resource: aws_s3_bucket.template_bucket Check: "Ensure all data stored in the S3 bucket is securely encrypted at rest" /../regionStack/main.tf: Failed for resource: aws_s3_bucket.sls_deployment_bucket_name

नोट: यदि आप Python 3.6 (Ubuntu 18.04 में डिफ़ॉल्ट संस्करण) का उपयोग कर रहे हैं, तो checkov काम नहीं करेगा, और यह ModuleNotFoundError: No module named 'dataclasses' त्रुटि संदेश के साथ विफल हो जाएगा। इस स्थिति में, आप इसके बजाय डॉकर संस्करण का उपयोग कर सकते हैं।

ध्यान दें कि कुछ मामलों में docker run --tty आउटपुट को किसी फ़ाइल में रीडायरेक्ट करने पर - उदाहरण के लिए, यदि आप Checkov JUnit आउटपुट को किसी फ़ाइल में सहेजना चाहते हैं - तो अतिरिक्त नियंत्रण वर्ण मुद्रित हो जाएंगे। इससे फ़ाइल पार्सिंग टूट सकती है। यदि आपको यह समस्या आती है, तो --tty फ़्लैग हटा दें।

--workdir /tf फ़्लैग वैकल्पिक है और वर्किंग डायरेक्टरी को माउंटेड वॉल्यूम में बदलने के लिए है। यदि आप SARIF आउटपुट -o sarif का उपयोग कर रहे हैं, तो यह results.sarif फ़ाइल को माउंटेड वॉल्यूम (ऊपर उदाहरण में /user/tf) पर आउटपुट करेगा। यदि आप वह फ़्लैग शामिल नहीं करते हैं, तो वर्किंग डायरेक्टरी "/" होगी।

जाँच चलाना या छोड़ना

कमांड लाइन फ़्लैग का उपयोग करके, आप केवल नामित जाँच (अनुमति सूची) चलाने या सभी जाँचों को छोड़कर केवल सूचीबद्ध जाँचों को चलाने (अस्वीकृति सूची) के लिए निर्दिष्ट कर सकते हैं। यदि आप API कुंजी के माध्यम से प्लेटफ़ॉर्म एकीकरण का उपयोग कर रहे हैं, तो आप एक गंभीरता सीमा भी निर्दिष्ट कर सकते हैं जिसे छोड़ा और/या शामिल किया जाना चाहिए। इसके अलावा, चूंकि json फ़ाइलों में टिप्पणियाँ नहीं हो सकतीं, इसलिए आप json फ़ाइल गुप्त स्कैन को छोड़ने के लिए regex पैटर्न पास कर सकते हैं।

इन फ़्लैग के एक साथ काम करने के तरीके के बारे में अधिक विस्तृत जानकारी के लिए दस्तावेज़ देखें।

उदाहरण

केवल निर्दिष्ट दो जाँचों को चलाने की अनुमति दें:```sh checkov --directory . --check CKV_AWS_20,CKV_AWS_57

निर्दिष्ट पैटर्न वाले चेक को छोड़कर सभी चेक चलाएँ:```sh checkov -d . --skip-check CKV_AWS*

सभी जाँचों को चलाएँ जो मध्यम गंभीरता या उससे अधिक हैं, साथ ही CKV_123 की जाँच करें (मान लें कि यह निम्न गंभीरता की जाँच है):```sh checkov -d . --check MEDIUM,CKV_123 --bc-api-key ...

MEDIUM गंभीरता या उससे कम की सभी जाँचों को छोड़ें, साथ ही CKV_789 जाँच (मान लें कि यह एक उच्च गंभीरता की जाँच है) को भी छोड़ें:```sh checkov -d . --skip-check MEDIUM,CKV_789 --bc-api-key ...

चेक CKV_789 चलाएँ, लेकिन इसे छोड़ दें यदि यह मध्यम गंभीरता का है (--check तर्क हमेशा --skip-check से पहले लागू होता है)```sh checkov -d . --skip-check MEDIUM --check CKV_789 --bc-api-key ...

कंटेनर इमेज का स्कैन चलाएं। पहले इमेज को पुल या बिल्ड करें, फिर उसे हैश, आईडी, या नाम:टैग द्वारा संदर्भित करें:```sh checkov --framework sca_image --docker-image sha256:1234example --dockerfile-path /Users/path/to/Dockerfile --repo-id ... --bc-api-key ...

checkov --docker-image :tag --dockerfile-path /User/path/to/Dockerfile --repo-id ... --bc-api-key ...

किसी रिपॉजिटरी में पैकेजों का SCA स्कैन चलाएँ:```sh checkov -d . --framework sca_package --bc-api-key ... --repo-id <repo_id(arbitrary)>

या कई रनों के लिए पर्यावरण चर सक्षम करें।```sh export PYTHONUNBUFFERED=1 LOG_LEVEL=DEBUG checkov -d .

गुप्त जानकारी स्कैनिंग चलाएँ MyDirectory में सभी फ़ाइलों पर। उन json फ़ाइलों पर CKV_SECRET_6 जाँच छोड़ें जिनके पथ में "skip_test" शामिल है।```sh checkov -d /MyDirectory --framework secrets --repo-id ... --bc-api-key ... --skip-check CKV_SECRET_6:.*skip_test.*json$

उपरोक्त उदाहरण में, निम्नलिखित मान मास्क किए जाएंगे:

• aws_instance संसाधन के लिए user_data
• azurerm_key_vault_secret के लिए admin_password और user_passwords दोनों

चेक को दबाना/अनदेखा करना

किसी भी स्थैतिक-विश्लेषण उपकरण की तरह, यह अपने विश्लेषण क्षेत्र (scope) द्वारा सीमित है। उदाहरण के लिए, यदि कोई संसाधन मैन्युअल रूप से प्रबंधित किया जाता है, या बाद के कॉन्फ़िगरेशन प्रबंधन टूलिंग का उपयोग करके, सप्रेशन (suppression) को एक सरल कोड एनोटेशन के रूप में डाला जा सकता है।

सप्रेशन टिप्पणी प्रारूप

किसी दिए गए Terraform परिभाषा ब्लॉक या CloudFormation संसाधन पर किसी चेक को छोड़ने के लिए, इसके दायरे (scope) में निम्नलिखित टिप्पणी पैटर्न लागू करें:

checkov:skip=<check_id>:<suppression_comment>

• <check_id> [उपलब्ध चेक स्कैनर्स](docs/5.Policy Index/all.md) में से एक है
• <suppression_comment> आउटपुट में शामिल करने के लिए एक वैकल्पिक सप्रेशन कारण है

उदाहरण

निम्नलिखित टिप्पणी foo-bucket द्वारा पहचाने गए संसाधन पर CKV_AWS_20 चेक को छोड़ देती है, जहां स्कैन जांचता है कि AWS S3 बकेट निजी (private) है या नहीं। उदाहरण में, बकेट को सार्वजनिक पढ़ने की पहुंच (public read access) के साथ कॉन्फ़िगर किया गया है; सप्रेस टिप्पणी जोड़ने से चेक को विफल करने के बजाय उपयुक्त चेक को छोड़ दिया जाएगा।```hcl-terraform resource "aws_s3_bucket" "foo-bucket" { region = var.region #checkov:skip=CKV_AWS_20:The bucket is a public static content host bucket = local.bucket_name force_destroy = true acl = "public-read" }

एकाधिक जांचों को छोड़ने के लिए, प्रत्येक को एक नई पंक्ति के रूप में जोड़ें।``` #checkov:skip=CKV2_AWS_6 #checkov:skip=CKV_AWS_20:The bucket is a public static content host

लॉगिंग

stdout पर विस्तृत लॉगिंग के लिए पर्यावरण चर LOG_LEVEL को DEBUG पर सेट करें।

डिफ़ॉल्ट LOG_LEVEL=WARNING है।

निर्देशिकाओं को छोड़ना

फ़ाइलों या निर्देशिकाओं को छोड़ने के लिए, --skip-path तर्क का उपयोग करें, जिसे कई बार निर्दिष्ट किया जा सकता है। यह तर्क वर्तमान कार्यशील निर्देशिका के सापेक्ष पथों के लिए रेगुलर एक्सप्रेशन स्वीकार करता है। इसका उपयोग पूरी निर्देशिकाओं और/या विशिष्ट फ़ाइलों को छोड़ने के लिए किया जा सकता है।

डिफ़ॉल्ट रूप से, . से शुरू होने वाली किसी भी फ़ाइल या निर्देशिका के अतिरिक्त, node_modules, .terraform, और .serverless नामक सभी निर्देशिकाएँ छोड़ दी जाएँगी। . से शुरू होने वाली निर्देशिकाओं को छोड़ना रद्द करने के लिए, पर्यावरण चर CKV_IGNORE_HIDDEN_DIRECTORIES को ओवरराइड करें: export CKV_IGNORE_HIDDEN_DIRECTORIES=false

आप पर्यावरण चर CKV_IGNORED_DIRECTORIES सेट करके छोड़ी जाने वाली निर्देशिकाओं के डिफ़ॉल्ट सेट को ओवरराइड कर सकते हैं। ध्यान दें कि यदि आप इस सूची को संरक्षित करना चाहते हैं और इसमें जोड़ना चाहते हैं, तो आपको इन मानों को शामिल करना होगा। उदाहरण के लिए, CKV_IGNORED_DIRECTORIES=mynewdir केवल उस निर्देशिका को छोड़ेगा, लेकिन ऊपर उल्लिखित अन्य निर्देशिकाओं को नहीं। यह चर लीगेसी कार्यक्षमता है; हम --skip-file फ़्लैग का उपयोग करने की अनुशंसा करते हैं।

कंसोल आउटपुट

कंसोल आउटपुट डिफ़ॉल्ट रूप से रंगीन होता है, मोनोक्रोम आउटपुट पर स्विच करने के लिए, पर्यावरण चर सेट करें: ANSI_COLORS_DISABLED

VS Code एक्सटेंशन

यदि आप VS Code के भीतर Checkov का उपयोग करना चाहते हैं, तो Prisma Cloud एक्सटेंशन आज़माएं।

कॉन्फिग फ़ाइल का उपयोग करके कॉन्फ़िगरेशन

Checkov को YAML कॉन्फ़िगरेशन फ़ाइल का उपयोग करके कॉन्फ़िगर किया जा सकता है। डिफ़ॉल्ट रूप से, checkov प्राथमिकता के क्रम में निम्नलिखित स्थानों पर .checkov.yaml या .checkov.yml फ़ाइल की तलाश करता है:

• वह निर्देशिका जिसके विरुद्ध checkov चलाया जाता है। (--directory)
• वर्तमान कार्यशील निर्देशिका जहाँ checkov कॉल किया गया है।
• उपयोगकर्ता की होम निर्देशिका।

ध्यान दें: checkov कॉन्फ़िगरेशन फ़ाइल को किसी सत्यापित पहचान द्वारा बनाए गए विश्वसनीय स्रोत से लोड करना एक सर्वोत्तम अभ्यास है, ताकि स्कैन की गई फ़ाइलें, चेक आईडी और लोड किए गए कस्टम चेक वांछित हों।

उपयोगकर्ता कमांड लाइन के माध्यम से कॉन्फिग फ़ाइल का पथ भी पास कर सकते हैं। इस स्थिति में, अन्य कॉन्फिग फ़ाइलों को अनदेखा कर दिया जाएगा। उदाहरण के लिए:```sh checkov --config-file path/to/config.yaml

एक config.yaml फ़ाइल बनाएगा जो इस प्रकार दिखती है:```yaml branch: develop check:

• CKV_DOCKER_1 compact: true directory:
• test-dir docker-image: sample-image dockerfile-path: Dockerfile download-external-modules: true evaluate-variables: true external-checks-dir:
• sample-dir external-modules-download-path: .external_modules framework:
• all output: cli quiet: true repo-id: prisma-cloud/sample-repo skip-check:
• CKV_DOCKER_3
• CKV_DOCKER_2 skip-framework:
• dockerfile
• secrets soft-fail: true

दिखाएगा:```sh Command Line Args: --show-config Environment Variables: BC_API_KEY: your-api-key Config File (/Users/sample/.checkov.yml): soft-fail: False branch: master skip-check: ['CKV_DOCKER_3', 'CKV_DOCKER_2'] Defaults: --output: cli --framework: ['all'] --download-external-modules:False --external-modules-download-path:.external_modules --evaluate-variables:True