Checkov IaC Scanner

Description

Checkov est un outil open-source d'analyse statique de sécurité pour l'Infrastructure as Code, développé par Bridgecrew/Palo Alto Networks. Il analyse les fichiers Terraform, CloudFormation, Kubernetes YAML, Helm, ARM Templates et Bicep contre 1000+ règles de sécurité et de conformité.

Contexte cloud

Checkov s'exécute localement ou dans les pipelines CI/CD avant chaque déploiement. Il couvre les règles CIS Benchmarks AWS/Azure/GCP, ainsi que des politiques spécifiques sur le chiffrement, la rotation des secrets, l'accès public et les configurations réseau. Les résultats sont exportables en JSON, JUnit XML ou SARIF pour intégration IDE.

Points clés

• CLI : checkov -d ./terraform --framework terraform --check CKV_AWS_18,CKV_AWS_21 --output json pour un scan ciblé
• Skipping justifié : #checkov:skip=CKV_AWS_20:bucket public for static website avec commentaire obligatoire
• Pre-commit hook : checkov -d . dans .pre-commit-config.yaml pour bloquer les commits avec des misconfigurations critiques