Sicurezza di Bitbucket: scanner di sicurezza per Infrastructure as Code

Analizza i file di configurazione della tua Infrastructure as Code per garantire buone pratiche di sicurezza. Crea un report Code Insights sulla sicurezza se viene rilevato un problema.

Questa Pipe supportata da Bitbucket Cloud sfrutta lo strumento di scansione leader del settore KICS per fornire funzionalità di scansione IaC ai clienti Bitbucket. Consulta la sezione Dettagli ed Esempi per ulteriori informazioni.

Definizione YAML

Aggiungi il seguente snippet alla sezione script del tuo file bitbucket-pipelines.yml:

- pipe: atlassian/bitbucket-iac-scan:0.5.2
  variables:
    FILES_TO_SCAN_PATH: '<string>'
    # SCAN_EXTRA_ARGS: '<array>' # Optional.
    # CONFIG_PATH: '<string>' # Optional.
    # CREATE_REPORT: "<boolean>" # Optional. Default: `true`
    # FAIL_ON: "<integer>" # Optional.
    # DEBUG: "<boolean>" # Optional. Default: `false`

Variabili

Variabile	Utilizzo
FILES_TO_SCAN_PATH (*)	File o directory da scansionare, separati da `,`. Esempio: "./path_to_dir,path_to_file.txt".
SCAN_EXTRA_ARGS	Opzioni aggiuntive da passare ai comandi di scansione di KICS. Se viene passato l'argomento -p, questo estenderà i file o le directory forniti nella variabile `FILES_TO_SCAN_PATH`. Se viene passato l'argomento --config, questo sarà ignorato in favore della variabile `CONFIG_PATH`.
CONFIG_PATH	Percorso del file di configurazione KICS. Alternativa alla variabile `SCAN_EXTRA_ARGS`. Se la parola chiave `path` è fornita all'interno del file di configurazione, questa sarà ignorata in favore della variabile `FILES_TO_SCAN_PATH`.
CREATE_REPORT	Controlla se la pipe creerà report CodeInsights di Bitbucket utilizzando i risultati dell'esecuzione di KICS. Predefinito: `true`.
FAIL_ON	Il valore di soglia del [codice di stato del risultato][result status code] dello scanner KICS al quale la pipe deve attivare un fallimento.
DEBUG	Attiva informazioni di debug aggiuntive. Predefinito: `false`.

(*) = variabile obbligatoria.

Opzioni aggiuntive

Se necessario, gli utenti possono migliorare le proprie scansioni incorporando opzioni dal comando Scan con la variabile SCAN_EXTRA_ARGS.

Inoltre, è disponibile un'opzione per gli utenti per creare e fornire un file di configurazione KICS personalizzato, che viene applicato nella pipe bitbucket-iac-scan tramite la variabile CONFIG_PATH. Questo file di configurazione rappresenta un'alternativa all'utilizzo di SCAN_EXTRA_ARGS. Una volta creato un file di configurazione KICS personalizzato, questo dovrebbe essere memorizzato all'interno del repository dell'utente. È qui che verrà attivata la pipeline con una pipe bitbucket-iac-scan.

Se entrambe le variabili SCAN_EXTRA_ARGS e CONFIG_PATH vengono fornite con argomenti duplicati, allora gli argomenti della variabile SCAN_EXTRA_ARGS avranno una precedenza maggiore.

Esempi

Esempi di base:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir

Analizza le sorgenti e la pipe dovrebbe fallire se il [codice di stato del risultato][result status code] dello scanner KICS è maggiore o uguale al valore di soglia fornito.

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      FAIL_ON: 40

Esempi avanzati:

Esempio con configurazione kics utilizzabile nella pipe:

kics-config.json. La chiave path verrà ignorata

{
  "path": "assets/iac_samples",
  "verbose": true,
  "log-file": true,
  "type": "Dockerfile,Kubernetes",
  "queries-path": "assets/queries",
  "exclude-paths": [
     "foo/",
     "bar/"
  ],
  "output-path": "results"
}

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      CONFIG_PATH: kics-config.json

Esempio con opzioni di scansione:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      SCAN_EXTRA_ARGS:
        - "--disable-secrets"
        - "--type=Dockerfile"

Non creare un report CodeInsights:

script:
  - pipe: atlassian/bitbucket-iac-scan:0.5.2
    variables:
      FILES_TO_SCAN_PATH: ./my_files_to_scan_dir
      CREATE_REPORT: 'false'

Supporto

Se desideri assistenza con questa pipe, o hai un problema o una richiesta di funzionalità, faccelo sapere su Community.

Se stai segnalando un problema, includi:

la versione della pipe
i log e i messaggi di errore pertinenti
i passaggi per riprodurre il problema

bitbucket-iac-scan

Più Popolari