Skip to main content

Featured

Novo recurso no Microsoft Entra ID: desativar App Registration sem excluir

O Microsoft Entra ID agora permite desativar uma App Registration de forma reversível, sem precisar excluí-la do tenant.  Além de uma maneira de obter maior controle operacional, menor superfície de ataque e maior maturidade em identidade corporativa, esse recurso proporciona segurança, sem que haja  perca de configurações e permissões de aplicações que podem voltar a serem utilizadas. Antes dessa funcionalidade, administradores precisavam optar entre manter o aplicativo ativo durante uma investigação ou removê-lo completamente, o que implicava perda de histórico, permissões de API e configurações. Agora é possível interromper o acesso sem destruir o objeto. O que acontece ao desativar um aplicativo Quando uma App Registration é desativada, n ovos tokens deixam de ser emitidos, u suários não conseguem autenticar, a  aplicação não consegue acessar APIs usando novos tokens e o  Service Principal passa a ter o atributo isDisabled definido como true Se houver tentativa ...
Post a Comment
Read more

Checkov - análise estática para segurança IaC




O que é o Checkov?

O Checkov é uma ferramenta de análise estática para segurança de infraestrutura como código (IaC). Desenvolvido pela Bridgecrew (empresa adquirida pela Palo Alto Networks), ele analisa arquivos de provisionamento de infraestrutura antes de serem aplicados, identificando erros de configuração, falhas de segurança e violações de conformidade.

Principais funcionalidades

1. Suporte Multiplataforma IaC

O Checkov oferece suporte a diversos tipos de infraestrutura como código, incluindo:

  • Terraform (HCL e JSON)

  • AWS CloudFormation (YAML e JSON)

  • Kubernetes YAML

  • Helm Charts

  • Dockerfiles

  • ARM Templates (Azure)

  • Pulumi (Python, TypeScript)

  • Serverless Framework

Isso o torna útil em ambientes multicloud e em pipelines DevOps variados.


2. Conjunto Extensivo de Regras de Segurança

O Checkov vem com centenas de regras baseadas em padrões e benchmarks de segurança, como:

  • CIS Benchmarks

  • NIST 800-53

  • SOC 2

  • PCI-DSS

  • NSA/CISA hardening guides

Essas regras detectam problemas como:

  • Buckets S3 públicos

  • Falta de criptografia em armazenamento

  • Permissões excessivas em IAM

  • Contêineres executando como root

  • Falta de rotação de segredos


3. Integração com CI/CD

O Checkov é ideal para DevSecOps. Ele pode ser adicionado a pipelines de:

  • GitHub Actions

  • GitLab CI

  • Azure DevOps

  • Jenkins

  • CircleCI

Isso permite bloquear automaticamente deploys inseguros, impedindo que configurações vulneráveis cheguem à produção.


4. Customização e Gerenciamento de Políticas

O Checkov permite:

  • Criar regras personalizadas para contextos específicos

  • Ignorar regras por recurso com comentários inline (# checkov:skip=CKV_AWS_20)

  • Usar arquivos de política em YAML para controle centralizado

  • Configurar diretórios e exceções em projetos grandes


5. Formatos de Saída e Integrações

Checkov pode gerar relatórios em diversos formatos:

  • Texto simples (CLI)

  • JSON

  • SARIF (compatível com GitHub Security Dashboard)

  • JUnit (para integração com ferramentas de qualidade)

Também possui extensões para VS Code e integrações com ferramentas como SonarQube, Prisma Cloud e Bridgecrew Cloud.


Exemplo de uso

No terminal:

checkov -d ./infra/terraform

Este comando executa uma varredura em arquivos Terraform no diretório indicado, e o resultado pode incluir:

Check: CKV_AWS_20: "S3 Bucket should have versioning enabled"
FAILED for resource: aws_s3_bucket.my_bucket

Você pode corrigir a configuração ou justificar o bypass se necessário.


Aplicações práticas

  • Validação automática de templates de infraestrutura

  • Conformidade contínua com regulamentações

  • Detecção precoce de falhas de segurança

  • Fortalecimento de DevOps com segurança embarcada

O Checkov é uma ferramenta essencial para equipes que usam infraestrutura como código em ambientes de nuvem. Ele permite que a segurança seja incorporada desde o início do ciclo de vida da infraestrutura, reduzindo riscos, evitando retrabalho e garantindo conformidade.


Confira: Quick Start - checkov

Comments

Post a Comment