Checkov

Checkov

Overview

Checkov — IaC security scanner для поиска небезопасных конфигураций и нарушений best practices в инфраструктурном коде (Terraform, Kubernetes manifests, Helm, CloudFormation и др.), интегрированный в TRAIO.

Requirements

В Sequences перед этим инструментом должен быть добавлен job Code Downloader

Supported languages

• Terraform (HCL)
• Kubernetes manifests (YAML)
• Helm charts
• CloudFormation
• Dockerfile

Key features

• Быстрый запуск “из коробки” через официальный docker-образ
• Сканирование директории с инфраструктурным кодом
• JSON-отчёт для последующего парсинга в TRAIO
• Возможность ускорения за счёт исключения тяжёлых директорий (например, .terraform)

How it works

Сканер использует официальный docker-образ Checkov:

• ghcr.io/bridgecrewio/checkov:latest

Команда запуска (пример):

checkov -d ./ -o json --output-file-path /data --quiet

Variables

Переменная	Пример	Обязательная	Описание
REPORT_FILE_NAME	results_json.json	Да	Имя итогового отчёта, который TRAIO забирает из /data/.
SCAN_TYPE	Checkov Scan	Да	Тип сканирования для парсинга в TRAIO.

Recommended arguments

Ниже — аргументы, которые чаще всего полезны в CI:

• --quiet — уменьшает шум в логах
• --framework terraform (или kubernetes, helm, cloudformation) — ускоряет скан, если нужно ограничить типы файлов
• --skip-path .terraform — must-have для Terraform, чтобы не сканировать скачанные модули/кэш
• Дополнительно для ускорения в больших репозиториях:
  • --skip-path node_modules
  • --skip-path .venv / --skip-path venv
  • --skip-path vendor
  • --skip-path dist / --skip-path build
  • --skip-path .git

Notes

• Режим сканирования docker image (--docker-image) в Checkov может требовать --bc-api-key (Bridgecrew/Prisma Cloud).

Links

• Checkov GitHub: https://github.com/bridgecrewio/checkov