Checkov - análise estática para segurança IaC

O que é o Checkov?

O Checkov é uma ferramenta de análise estática para segurança de infraestrutura como código (IaC). Desenvolvido pela Bridgecrew (empresa adquirida pela Palo Alto Networks), ele analisa arquivos de provisionamento de infraestrutura antes de serem aplicados, identificando erros de configuração, falhas de segurança e violações de conformidade.

Principais funcionalidades

1. Suporte Multiplataforma IaC

O Checkov oferece suporte a diversos tipos de infraestrutura como código, incluindo:

• Terraform (HCL e JSON)

• AWS CloudFormation (YAML e JSON)

• Kubernetes YAML

• Helm Charts

• Dockerfiles

• ARM Templates (Azure)

• Pulumi (Python, TypeScript)

• Serverless Framework

Isso o torna útil em ambientes multicloud e em pipelines DevOps variados.

2. Conjunto Extensivo de Regras de Segurança

O Checkov vem com centenas de regras baseadas em padrões e benchmarks de segurança, como:

• CIS Benchmarks

• NIST 800-53

• SOC 2

• PCI-DSS

• NSA/CISA hardening guides

Essas regras detectam problemas como:

• Buckets S3 públicos

• Falta de criptografia em armazenamento

• Permissões excessivas em IAM

• Contêineres executando como root

• Falta de rotação de segredos

3. Integração com CI/CD

O Checkov é ideal para DevSecOps. Ele pode ser adicionado a pipelines de:

• GitHub Actions

• GitLab CI

• Azure DevOps

• Jenkins

• CircleCI

Isso permite bloquear automaticamente deploys inseguros, impedindo que configurações vulneráveis cheguem à produção.

4. Customização e Gerenciamento de Políticas

O Checkov permite:

• Criar regras personalizadas para contextos específicos

• Ignorar regras por recurso com comentários inline (# checkov:skip=CKV_AWS_20)

• Usar arquivos de política em YAML para controle centralizado

• Configurar diretórios e exceções em projetos grandes

5. Formatos de Saída e Integrações

Checkov pode gerar relatórios em diversos formatos:

• Texto simples (CLI)

• JSON

• SARIF (compatível com GitHub Security Dashboard)

• JUnit (para integração com ferramentas de qualidade)

Também possui extensões para VS Code e integrações com ferramentas como SonarQube, Prisma Cloud e Bridgecrew Cloud.

Exemplo de uso

No terminal:

checkov -d ./infra/terraform

Este comando executa uma varredura em arquivos Terraform no diretório indicado, e o resultado pode incluir:

Check: CKV_AWS_20: "S3 Bucket should have versioning enabled"
FAILED for resource: aws_s3_bucket.my_bucket

Você pode corrigir a configuração ou justificar o bypass se necessário.

Aplicações práticas

• Validação automática de templates de infraestrutura

• Conformidade contínua com regulamentações

• Detecção precoce de falhas de segurança

• Fortalecimento de DevOps com segurança embarcada

O Checkov é uma ferramenta essencial para equipes que usam infraestrutura como código em ambientes de nuvem. Ele permite que a segurança seja incorporada desde o início do ciclo de vida da infraestrutura, reduzindo riscos, evitando retrabalho e garantindo conformidade.

Confira: Quick Start - checkov