checkov

Ferramenta de análise estática para infraestrutura como código que detecta configurações incorretas em nuvem, vulnerabilidades e segredos em Terraform, Kubernetes, CloudFormation e imagens de contêiner durante o tempo de build.

Checkov é uma ferramenta de análise estática de código para infraestrutura como código (IaC) e também uma ferramenta de análise de composição de software (SCA) para imagens e pacotes open source.

Ela examina a infraestrutura em nuvem provisionada usando Terraform, Terraform plan, Cloudformation, AWS SAM, Kubernetes, Helm charts, Kustomize, Dockerfile, Serverless, Bicep, OpenAPI, ARM Templates ou OpenTofu e detecta más configurações de segurança e conformidade usando varredura baseada em grafos.

Ela realiza varredura de Análise de Composição de Software (SCA), que é uma varredura de pacotes open source e imagens em busca de Vulnerabilidades e Exposições Comuns (CVEs).

Checkov também alimenta o Prisma Cloud Application Security, a plataforma voltada para desenvolvedores que codifica e simplifica a segurança em nuvem durante todo o ciclo de vida de desenvolvimento. O Prisma Cloud identifica, corrige e previne más configurações em recursos de nuvem e arquivos de infraestrutura como código.

Índice

• Funcionalidades
• Capturas de tela
• Começando
• Aviso legal
• Suporte
• Migração - v2 para v3

Funcionalidades

• Mais de 1000 políticas integradas cobrem as melhores práticas de segurança e conformidade para AWS, Azure e Google Cloud.
• Examina arquivos de template Terraform, Terraform Plan, Terraform JSON, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfile, Serverless framework, Ansible, Bicep, ARM e OpenTofu.
• Examina arquivos de workflow Argo Workflows, Azure Pipelines, BitBucket Pipelines, Circle CI Pipelines, GitHub Actions e GitLab CI.
• Suporta políticas com consciência de contexto baseadas em varredura baseada em grafo em memória.
• Suporta formato Python para políticas de atributo e formato YAML para políticas de atributo e compostas.
• Detecta credenciais AWS em EC2 Userdata, variáveis de ambiente Lambda e provedores Terraform.
• Identifica segredos usando expressões regulares, palavras-chave e detecção baseada em entropia.
• Avalia configurações do Terraform Provider para regular a criação, gerenciamento e atualização de IaaS, PaaS ou SaaS gerenciados via Terraform.
• As políticas suportam avaliação de variáveis para seu valor padrão opcional.
• Suporta supressão em linha de riscos aceitos ou falsos positivos para reduzir falhas recorrentes de varredura. Também suporta skip global via CLI.
• Saída atualmente disponível como CLI, CycloneDX, JSON, JUnit XML, CSV, SARIF e markdown do GitHub, além de link para guias de remediação.

Capturas de tela

Resultados da varredura na CLI

Resultado de varredura agendada no Jenkins

Começando

Requisitos

• Python >= 3.9, <=3.12
• Terraform >= 0.12

Instalação

Para instalar o pip siga a documentação oficial```sh pip3 install checkov

ou com Homebrew (macOS ou Linux)```sh brew install checkov

Atualização

se você instalou o checkov com pip3```sh pip3 install -U checkov

Configurar uma pasta ou arquivo de entrada```sh

checkov --directory /user/path/to/iac/code

Ou```sh checkov -f /user/cloudformation/example1.yml -f /user/cloudformation/example2.yml

Nota: o arquivo de saída tf.json do terraform show será uma única linha. Por esse motivo, todas as descobertas serão reportadas na linha número 0 pelo Checkov```sh check: CKV_AWS_21: "Ensure all data stored in the S3 bucket have versioning enabled" FAILED for resource: aws_s3_bucket.customer File: /tf/tf.json:0-0 Guide: https://docs.prismacloud.io/en/enterprise-edition/policy-reference/aws-policies/s3-policies/s3-16-enable-versioning

O resultado da varredura seria muito mais amigável para o usuário.```sh checkov -f tf.json Check: CKV_AWS_21: "Ensure all data stored in the S3 bucket have versioning enabled" FAILED for resource: aws_s3_bucket.customer File: /tf/tf1.json:224-268 Guide: https://docs.prismacloud.io/en/enterprise-edition/policy-reference/aws-policies/s3-policies/s3-16-enable-versioning

Exemplo de resultado de varredura (CLI)```sh

Passed Checks: 1, Failed Checks: 1, Suppressed Checks: 0 Check: "Ensure all data stored in the S3 bucket is securely encrypted at rest" /main.tf: Passed for resource: aws_s3_bucket.template_bucket Check: "Ensure all data stored in the S3 bucket is securely encrypted at rest" /../regionStack/main.tf: Failed for resource: aws_s3_bucket.sls_deployment_bucket_name

Nota: se você estiver usando Python 3.6 (versão padrão no Ubuntu 18.04), o checkov não funcionará e falhará com a mensagem de erro ModuleNotFoundError: No module named 'dataclasses'. Nesse caso, você pode usar a versão Docker.

Note que há certos casos onde redirecionar a saída de docker run --tty para um arquivo - por exemplo, se você quiser salvar a saída JUnit do Checkov em um arquivo - fará com que caracteres de controle extras sejam impressos. Isso pode quebrar a análise do arquivo. Se você encontrar isso, remova a flag --tty.

A flag --workdir /tf é opcional para alterar o diretório de trabalho para o volume montado. Se você estiver usando a saída SARIF -o sarif, isso salvará o arquivo results.sarif no volume montado (/user/tf no exemplo acima). Se você não incluir essa flag, o diretório de trabalho será "/".

Executando ou pulando verificações

Usando flags da linha de comando, você pode especificar para executar apenas verificações nomeadas (lista de permissão) ou executar todas as verificações, exceto aquelas listadas (lista de negação). Se você estiver usando a integração da plataforma via chave de API, também pode especificar um limiar de gravidade para pular e/ou incluir. Além disso, como arquivos json não podem conter comentários, é possível passar um padrão regex para pular a varredura de segredos em arquivos json.

Consulte a documentação para informações mais detalhadas sobre como essas flags funcionam juntas.

Exemplos

Permitir que apenas as duas verificações especificadas sejam executadas:```sh checkov --directory . --check CKV_AWS_20,CKV_AWS_57

Executar todas as verificações, exceto aquelas com padrões especificados:```sh checkov -d . --skip-check CKV_AWS*

Execute todas as verificações que são de severidade MEDIUM ou superior, bem como a verificação CKV_123 (suponha que esta seja uma verificação de severidade LOW):```sh checkov -d . --check MEDIUM,CKV_123 --bc-api-key ...

Pule todas as verificações que são de gravidade MEDIUM ou inferior, bem como a verificação CKV_789 (assuma que esta é uma verificação de alta gravidade):```sh checkov -d . --skip-check MEDIUM,CKV_789 --bc-api-key ...

Executar a verificação CKV_789, mas ignorá-la se for de gravidade média (a lógica --check é sempre aplicada antes de --skip-check)```sh checkov -d . --skip-check MEDIUM --check CKV_789 --bc-api-key ...

Execute uma verificação de uma imagem de contêiner. Primeiro faça pull ou build da imagem e então refira-se a ela pelo hash, ID, ou name:tag:```sh checkov --framework sca_image --docker-image sha256:1234example --dockerfile-path /Users/path/to/Dockerfile --repo-id ... --bc-api-key ...

checkov --docker-image :tag --dockerfile-path /User/path/to/Dockerfile --repo-id ... --bc-api-key ...

Executar uma análise SCA de pacotes em um repositório:```sh checkov -d . --framework sca_package --bc-api-key ... --repo-id <repo_id(arbitrary)>

OU ative as variáveis de ambiente para várias execuções```sh export PYTHONUNBUFFERED=1 LOG_LEVEL=DEBUG checkov -d .

Execute a varredura de segredos em todos os arquivos em MyDirectory. Pule a verificação CKV_SECRET_6 em arquivos json que contenham "skip_test" no caminho.```sh checkov -d /MyDirectory --framework secrets --repo-id ... --bc-api-key ... --skip-check CKV_SECRET_6:.*skip_test.*json$

No exemplo acima, os seguintes valores serão mascarados:

• user_data do recurso aws_instance
• ambos admin_password &user_passwords para azurerm_key_vault_secret

Suprimindo/Ignorando uma verificação

Como qualquer ferramenta de análise estática, é limitada pelo seu escopo de análise. Por exemplo, se um recurso é gerenciado manualmente ou usando ferramentas de gerenciamento de configuração subsequentes, a supressão pode ser inserida como uma simples anotação de código.

Formato do comentário de supressão

Para pular uma verificação em um determinado bloco de definição do Terraform ou recurso do CloudFormation, aplique o seguinte padrão de comentário dentro do seu escopo:

checkov:skip=<check_id>:<suppression_comment>

• <check_id> é um dos [verificadores de verificação disponíveis](docs/5.Policy Index/all.md)
• <suppression_comment> é um motivo opcional de supressão a ser incluído na saída

Exemplo

O seguinte comentário pula a verificação CKV_AWS_20 no recurso identificado por foo-bucket, onde a varredura verifica se um bucket S3 da AWS é privado. No exemplo, o bucket está configurado com acesso de leitura público; Adicionar o comentário de supressão pularia a verificação apropriada em vez de a verificação falhar.```hcl-terraform resource "aws_s3_bucket" "foo-bucket" { region = var.region #checkov:skip=CKV_AWS_20:The bucket is a public static content host bucket = local.bucket_name force_destroy = true acl = "public-read" }

Para ignorar várias verificações, adicione cada uma como uma nova linha.``` #checkov:skip=CKV2_AWS_6 #checkov:skip=CKV_AWS_20:The bucket is a public static content host

Logging

Para registo detalhado no stdout, defina a variável de ambiente LOG_LEVEL para DEBUG.

O padrão é LOG_LEVEL=WARNING.

Ignorar diretórios

Para ignorar ficheiros ou diretórios, use o argumento --skip-path, que pode ser especificado várias vezes. Este argumento aceita expressões regulares para caminhos relativos ao diretório de trabalho atual. Pode usá-lo para ignorar diretórios inteiros e/ou ficheiros específicos.

Por padrão, todos os diretórios com nome node_modules, .terraform e .serverless serão ignorados, além de quaisquer ficheiros ou diretórios que comecem com .. Para cancelar a ignoração de diretórios que começam com ., substitua a variável de ambiente CKV_IGNORE_HIDDEN_DIRECTORIES com export CKV_IGNORE_HIDDEN_DIRECTORIES=false

Pode substituir o conjunto predefinido de diretórios a ignorar definindo a variável de ambiente CKV_IGNORED_DIRECTORIES. Note que se quiser preservar esta lista e adicionar a ela, deve incluir esses valores. Por exemplo, CKV_IGNORED_DIRECTORIES=mynewdir ignorará apenas esse diretório, mas não os outros mencionados acima. Esta variável é uma funcionalidade legada; recomendamos usar a flag --skip-file.

Saída da Consola

A saída da consola é colorida por padrão; para alternar para uma saída monocromática, defina a variável de ambiente: ANSI_COLORS_DISABLED

Extensão VS Code

Se quiser usar o Checkov dentro do VS Code, experimente a extensão Prisma Cloud.

Configuração usando um ficheiro de configuração

O Checkov pode ser configurado usando um ficheiro de configuração YAML. Por padrão, o checkov procura um ficheiro .checkov.yaml ou .checkov.yml nos seguintes locais por ordem de precedência:

• Diretório contra o qual o checkov é executado. (--directory)
• Diretório de trabalho atual onde o checkov é chamado.
• Diretório base do utilizador.

Atenção: é uma boa prática que o ficheiro de configuração do checkov seja carregado de uma fonte confiável composta por uma identidade verificada, para que os ficheiros digitalizados, check ids e verificações personalizadas carregadas sejam conforme desejado.

Os utilizadores também podem passar o caminho para um ficheiro de configuração através da linha de comandos. Nesse caso, os outros ficheiros de configuração serão ignorados. Por exemplo:```sh checkov --config-file path/to/config.yaml

Criará um ficheiro config.yaml com o seguinte aspeto:```yaml branch: develop check:

• CKV_DOCKER_1 compact: true directory:
• test-dir docker-image: sample-image dockerfile-path: Dockerfile download-external-modules: true evaluate-variables: true external-checks-dir:
• sample-dir external-modules-download-path: .external_modules framework:
• all output: cli quiet: true repo-id: prisma-cloud/sample-repo skip-check:
• CKV_DOCKER_3
• CKV_DOCKER_2 skip-framework:
• dockerfile
• secrets soft-fail: true

Exibirá:```sh Command Line Args: --show-config Environment Variables: BC_API_KEY: your-api-key Config File (/Users/sample/.checkov.yml): soft-fail: False branch: master skip-check: ['CKV_DOCKER_3', 'CKV_DOCKER_2'] Defaults: --output: cli --framework: ['all'] --download-external-modules:False --external-modules-download-path:.external_modules --evaluate-variables:True