checkov

ビルド時にTerraform、Kubernetes、CloudFormation、コンテナイメージ全体でクラウドの誤設定、脆弱性、シークレットを検出するインフラストラクチャ・アズ・コード向けの静的解析ツール。

Checkov は、Infrastructure as Code (IaC) の静的コード分析ツールであり、イメージやオープンソースパッケージ向けのソフトウェア構成分析 (SCA) ツールでもあります。

Terraform や Terraform plan、Cloudformation、AWS SAM、Kubernetes、Helm チャート、Kustomize、Dockerfile、Serverless、Bicep、OpenAPI、ARM テンプレート、OpenTofu を使用してプロビジョニングされたクラウドインフラストラクチャをスキャンし、グラフベースのスキャンによりセキュリティとコンプライアンスの設定ミスを検出します。

オープンソースパッケージやイメージを対象に、Common Vulnerabilities and Exposures (CVE) をスキャンする Software Composition Analysis (SCA) スキャン を実行します。

Checkov は、開発ライフサイクル全体でクラウドセキュリティを定義・合理化する、開発者ファーストのプラットフォーム Prisma Cloud Application Security にも活用されています。Prisma Cloud は、クラウドリソースや Infrastructure-as-Code ファイルにおける設定ミスの特定、修正、防止を行います。

目次

• 機能
• スクリーンショット
• はじめに
• 免責事項
• サポート
• 移行 - v2 から v3 へ

機能

• 1000 以上の組み込みポリシー が AWS、Azure、Google Cloud のセキュリティとコンプライアンスのベストプラクティスをカバー。
• Terraform、Terraform Plan、Terraform JSON、CloudFormation、AWS SAM、Kubernetes、Helm、Kustomize、Dockerfile、Serverless framework、Ansible、Bicep、ARM、OpenTofu のテンプレートファイルをスキャン。
• Argo Workflows、Azure Pipelines、BitBucket Pipelines、Circle CI Pipelines、GitHub Actions、GitLab CI のワークフローファイルをスキャン。
• インメモリグラフベースのスキャンによるコンテキスト認識ポリシーに対応。
• 属性ポリシーには Python 形式、属性ポリシーと複合ポリシーの両方には YAML 形式に対応。
• EC2 の Userdata、Lambda 環境変数、Terraform プロバイダー内の AWS 認証情報 を検出。
• 正規表現、キーワード、エントロピーベースの検出によりシークレットを特定。
• Terraform を通じて管理される IaaS、PaaS、SaaS の作成、管理、更新を規制する Terraform Provider 設定を評価。
• ポリシーは、変数 のオプションのデフォルト値への評価に対応。
• 許容されるリスクや誤検知のインライン抑制 に対応し、繰り返しのスキャン失敗を削減。CLI を使用したグローバルスキップにも対応。
• 出力 は現在、CLI、CycloneDX、JSON、JUnit XML、CSV、SARIF、GitHub Markdown 形式、および修復ガイドへのリンクに対応。

スクリーンショット

CLI でのスキャン結果

Jenkins でのスケジュールスキャン結果

はじめに

必要条件

• Python >= 3.9、<=3.12
• Terraform >= 0.12

インストール

pip のインストールについては、公式ドキュメントに従ってください。```sh pip3 install checkov

または Homebrew (macOS または Linux)```sh brew install checkov

Upgrade

pip3 でインストールした場合```sh pip3 install -U checkov

入力フォルダまたはファイルを設定する```sh

checkov --directory /user/path/to/iac/code

または```sh checkov -f /user/cloudformation/example1.yml -f /user/cloudformation/example2.yml

注意: terraform show の出力ファイル tf.json は1行になります。
そのため、すべての検出結果は Checkov によって行番号 0 として報告されます。```sh check: CKV_AWS_21: "Ensure all data stored in the S3 bucket have versioning enabled" FAILED for resource: aws_s3_bucket.customer File: /tf/tf.json:0-0 Guide: https://docs.prismacloud.io/en/enterprise-edition/policy-reference/aws-policies/s3-policies/s3-16-enable-versioning

スキャン結果がもっとユーザーフレンドリーだと良いです。```sh checkov -f tf.json Check: CKV_AWS_21: "Ensure all data stored in the S3 bucket have versioning enabled" FAILED for resource: aws_s3_bucket.customer File: /tf/tf1.json:224-268 Guide: https://docs.prismacloud.io/en/enterprise-edition/policy-reference/aws-policies/s3-policies/s3-16-enable-versioning

スキャン結果サンプル (CLI)```sh

Passed Checks: 1, Failed Checks: 1, Suppressed Checks: 0 Check: "Ensure all data stored in the S3 bucket is securely encrypted at rest" /main.tf: Passed for resource: aws_s3_bucket.template_bucket Check: "Ensure all data stored in the S3 bucket is securely encrypted at rest" /../regionStack/main.tf: Failed for resource: aws_s3_bucket.sls_deployment_bucket_name

注意：Python 3.6（Ubuntu 18.04のデフォルトバージョン）を使用している場合、checkovは動作せず、ModuleNotFoundError: No module named 'dataclasses' というエラーメッセージが表示されて失敗します。この場合は、代わりにDockerバージョンを使用できます。

特定のケースでは、docker run --ttyの出力をファイルにリダイレクトすると（たとえば、Checkov JUnit出力をファイルに保存したい場合）、余分な制御文字が印刷されることがあります。これによりファイル解析が壊れる可能性があります。この問題が発生した場合は、--ttyフラグを削除してください。

--workdir /tfフラグはオプションで、作業ディレクトリをマウントされたボリュームに変更します。SARIF出力-o sarifを使用している場合、results.sarifファイルはマウントされたボリューム（上記の例では/user/tf）に出力されます。そのフラグを含めない場合、作業ディレクトリは"/"になります。

チェックの実行またはスキップ

コマンドラインフラグを使用することで、指定した名前のチェックのみを実行（許可リスト）したり、リストされたものを除くすべてのチェックを実行（拒否リスト）したりできます。APIキーを介したプラットフォーム統合を使用している場合は、スキップおよび/または含める重大度のしきい値を指定することもできます。さらに、JSONファイルにはコメントを含めることができないため、JSONファイルのシークレットスキャンをスキップする正規表現パターンを渡すことができます。

これらのフラグがどのように連携するかについての詳細は、ドキュメントを参照してください。

例

指定された2つのチェックのみを実行許可する：```sh checkov --directory . --check CKV_AWS_20,CKV_AWS_57

指定されたパターン以外のすべてのチェックを実行します：```sh checkov -d . --skip-check CKV_AWS*

MEDIUM 以上の重大度のすべてのチェックと、チェック CKV_123 (これは LOW 重大度のチェックと仮定します) を実行してください：```sh checkov -d . --check MEDIUM,CKV_123 --bc-api-key ...

MEDIUM以下の深刻度のすべてのチェック、およびチェックCKV_789（これは高深刻度チェックと仮定）をスキップします：```sh checkov -d . --skip-check MEDIUM,CKV_789 --bc-api-key ...

CKV_789のチェックを実行しますが、中程度の深刻度の場合はスキップします（--checkロジックは常に--skip-checkより先に適用されます）```sh checkov -d . --skip-check MEDIUM --check CKV_789 --bc-api-key ...

コンテナイメージのスキャンを実行します。最初にイメージをプルまたはビルドし、その後ハッシュ、ID、または name:tag: で参照します。```sh checkov --framework sca_image --docker-image sha256:1234example --dockerfile-path /Users/path/to/Dockerfile --repo-id ... --bc-api-key ...

checkov --docker-image :tag --dockerfile-path /User/path/to/Dockerfile --repo-id ... --bc-api-key ...

リポジトリ内のパッケージに対してSCAスキャンを実行する:```sh checkov -d . --framework sca_package --bc-api-key ... --repo-id <repo_id(arbitrary)>

または、複数回実行するための環境変数を有効にします。```sh export PYTHONUNBUFFERED=1 LOG_LEVEL=DEBUG checkov -d .

MyDirectory内のすべてのファイルに対してシークレットスキャンを実行します。パスに"skip_test"を含むjsonファイルに対してCKV_SECRET_6チェックをスキップします。```sh checkov -d /MyDirectory --framework secrets --repo-id ... --bc-api-key ... --skip-check CKV_SECRET_6:.*skip_test.*json$

上記の例では、以下の値がマスクされます：

• aws_instance リソースの user_data
• azurerm_key_vault_secret の admin_password と user_passwords の両方

チェックの抑制/無視

他の静的解析ツールと同様に、分析範囲に制限があります。 例えば、リソースが手動で管理されている場合や、後続の構成管理ツールを使用している場合、 抑制は簡単なコードアノテーションとして挿入できます。

抑制コメントの形式

特定のTerraform定義ブロックまたはCloudFormationリソースに対するチェックをスキップするには、そのスコープ内で以下のコメントパターンを適用します：

checkov:skip=<check_id>:<suppression_comment>

• <check_id> は、[利用可能なチェックスキャナー](docs/5.Policy Index/all.md) のいずれかです。
• <suppression_comment> は、出力に含める任意の抑制理由です。

例

以下のコメントは、foo-bucket で識別されるリソースに対する CKV_AWS_20 チェックをスキップします。このチェックは、AWS S3バケットがプライベートかどうかをスキャンします。 この例では、バケットはパブリック読み取りアクセスで構成されています。抑制コメントを追加すると、チェックが失敗する代わりに適切なチェックがスキップされます。```hcl-terraform resource "aws_s3_bucket" "foo-bucket" { region = var.region #checkov:skip=CKV_AWS_20:The bucket is a public static content host bucket = local.bucket_name force_destroy = true acl = "public-read" }

複数のチェックをスキップするには、それぞれを新しい行として追加します。``` #checkov:skip=CKV2_AWS_6 #checkov:skip=CKV_AWS_20:The bucket is a public static content host

ログ記録

標準出力への詳細なログを有効にするには、環境変数 LOG_LEVEL を DEBUG に設定します。

デフォルトは LOG_LEVEL=WARNING です。

ディレクトリのスキップ

ファイルやディレクトリをスキップするには、--skip-path 引数を使用します。この引数は複数回指定できます。この引数は、現在の作業ディレクトリからの相対パスに対する正規表現を受け付けます。ディレクトリ全体や特定のファイルをスキップするために使用できます。

デフォルトでは、node_modules、.terraform、.serverless という名前のすべてのディレクトリに加えて、. で始まるすべてのファイルまたはディレクトリがスキップされます。

. で始まるディレクトリのスキップを解除するには、環境変数 CKV_IGNORE_HIDDEN_DIRECTORIES を上書きします export CKV_IGNORE_HIDDEN_DIRECTORIES=false

環境変数 CKV_IGNORED_DIRECTORIES を設定することで、スキップするディレクトリのデフォルトセットを上書きできます。

このリストを保持して追加したい場合は、これらの値を含める必要があることに注意してください。例えば、CKV_IGNORED_DIRECTORIES=mynewdir と設定すると、そのディレクトリのみがスキップされ、上記の他のディレクトリはスキップされません。この変数はレガシー機能です。--skip-file フラグを使用することをお勧めします。

コンソール出力

コンソール出力はデフォルトでカラーです。モノクロ出力に切り替えるには、環境変数を設定します: ANSI_COLORS_DISABLED

VS Code 拡張機能

VS Code 内で Checkov を使用したい場合は、Prisma Cloud 拡張機能 を試してみてください。

設定ファイルを使用した構成

Checkov は YAML 設定ファイルを使用して構成できます。デフォルトでは、checkov は以下の場所で優先順位に従って .checkov.yaml または .checkov.yml ファイルを探します：

• checkov が実行されるディレクトリ。 (--directory)
• checkov が呼び出された現在の作業ディレクトリ。
• ユーザーのホームディレクトリ。

注意: checkov 設定ファイルは、検証済みのIDで構成された信頼できるソースから読み込むことがベストプラクティスです。これにより、スキャンされるファイル、チェックID、読み込まれるカスタムチェックが意図通りになります。

ユーザーはコマンドラインで設定ファイルへのパスを渡すこともできます。その場合、他の設定ファイルは無視されます。例：```sh checkov --config-file path/to/config.yaml

以下のような config.yaml ファイルを作成します:```yaml branch: develop check:

• CKV_DOCKER_1 compact: true directory:
• test-dir docker-image: sample-image dockerfile-path: Dockerfile download-external-modules: true evaluate-variables: true external-checks-dir:
• sample-dir external-modules-download-path: .external_modules framework:
• all output: cli quiet: true repo-id: prisma-cloud/sample-repo skip-check:
• CKV_DOCKER_3
• CKV_DOCKER_2 skip-framework:
• dockerfile
• secrets soft-fail: true

表示されます：```sh Command Line Args: --show-config Environment Variables: BC_API_KEY: your-api-key Config File (/Users/sample/.checkov.yml): soft-fail: False branch: master skip-check: ['CKV_DOCKER_3', 'CKV_DOCKER_2'] Defaults: --output: cli --framework: ['all'] --download-external-modules:False --external-modules-download-path:.external_modules --evaluate-variables:True