Skip to main content

Featured

Microsoft Entra B2B, B2C e Cross-Tenant Synchronization: entenda as diferenças e quando usar cada modelo

  À medida que as organizações adotam ambientes multicloud, aplicações SaaS e estruturas corporativas distribuídas, a identidade deixa de estar limitada aos funcionários de uma única empresa. Clientes precisam acessar aplicações. Fornecedores precisam colaborar em projetos. Empresas do mesmo grupo precisam compartilhar recursos. Subsidiárias podem possuir tenants Microsoft Entra separados. Apesar de todos esses cenários envolverem identidades externas , eles não são a mesma coisa.  Dentro do ecossistema Microsoft, três conceitos costumam gerar bastante confusão:  Microsoft Entra B2B,  Microsoft Entra External ID para cenários B2C e  Cross-Tenant Synchronization. Os três trabalham com identidades externas, mas possuem objetivos, arquiteturas e casos de uso diferentes. Microsoft Entra B2B: colaboração entre empresas O Microsoft Entra B2B (Business-to-Business) foi criado principalmente para permitir que uma organização colabore com usuários de outras organizações...
Post a Comment
Read more

Checkov - análise estática para segurança IaC




O que é o Checkov?

O Checkov é uma ferramenta de análise estática para segurança de infraestrutura como código (IaC). Desenvolvido pela Bridgecrew (empresa adquirida pela Palo Alto Networks), ele analisa arquivos de provisionamento de infraestrutura antes de serem aplicados, identificando erros de configuração, falhas de segurança e violações de conformidade.

Principais funcionalidades

1. Suporte Multiplataforma IaC

O Checkov oferece suporte a diversos tipos de infraestrutura como código, incluindo:

  • Terraform (HCL e JSON)

  • AWS CloudFormation (YAML e JSON)

  • Kubernetes YAML

  • Helm Charts

  • Dockerfiles

  • ARM Templates (Azure)

  • Pulumi (Python, TypeScript)

  • Serverless Framework

Isso o torna útil em ambientes multicloud e em pipelines DevOps variados.


2. Conjunto Extensivo de Regras de Segurança

O Checkov vem com centenas de regras baseadas em padrões e benchmarks de segurança, como:

  • CIS Benchmarks

  • NIST 800-53

  • SOC 2

  • PCI-DSS

  • NSA/CISA hardening guides

Essas regras detectam problemas como:

  • Buckets S3 públicos

  • Falta de criptografia em armazenamento

  • Permissões excessivas em IAM

  • Contêineres executando como root

  • Falta de rotação de segredos


3. Integração com CI/CD

O Checkov é ideal para DevSecOps. Ele pode ser adicionado a pipelines de:

  • GitHub Actions

  • GitLab CI

  • Azure DevOps

  • Jenkins

  • CircleCI

Isso permite bloquear automaticamente deploys inseguros, impedindo que configurações vulneráveis cheguem à produção.


4. Customização e Gerenciamento de Políticas

O Checkov permite:

  • Criar regras personalizadas para contextos específicos

  • Ignorar regras por recurso com comentários inline (# checkov:skip=CKV_AWS_20)

  • Usar arquivos de política em YAML para controle centralizado

  • Configurar diretórios e exceções em projetos grandes


5. Formatos de Saída e Integrações

Checkov pode gerar relatórios em diversos formatos:

  • Texto simples (CLI)

  • JSON

  • SARIF (compatível com GitHub Security Dashboard)

  • JUnit (para integração com ferramentas de qualidade)

Também possui extensões para VS Code e integrações com ferramentas como SonarQube, Prisma Cloud e Bridgecrew Cloud.


Exemplo de uso

No terminal:

checkov -d ./infra/terraform

Este comando executa uma varredura em arquivos Terraform no diretório indicado, e o resultado pode incluir:

Check: CKV_AWS_20: "S3 Bucket should have versioning enabled"
FAILED for resource: aws_s3_bucket.my_bucket

Você pode corrigir a configuração ou justificar o bypass se necessário.


Aplicações práticas

  • Validação automática de templates de infraestrutura

  • Conformidade contínua com regulamentações

  • Detecção precoce de falhas de segurança

  • Fortalecimento de DevOps com segurança embarcada

O Checkov é uma ferramenta essencial para equipes que usam infraestrutura como código em ambientes de nuvem. Ele permite que a segurança seja incorporada desde o início do ciclo de vida da infraestrutura, reduzindo riscos, evitando retrabalho e garantindo conformidade.


Confira: Quick Start - checkov

Comments

Post a Comment