IAC Security Gate

devsecops

Définition

L'IAC Security Gate (portail de sécurité pour l'Infrastructure as Code) est un point de contrôle automatisé dans les pipelines CI/CD qui vérifie la conformité sécuritaire des fichiers d'Infrastructure as Code (Terraform, CloudFormation, Pulumi, Bicep, Helm charts, manifestes Kubernetes) avant qu'ils ne soient appliqués en production. L'IAC Security Gate transforme la vérification de sécurité de l'infrastructure d'un processus manuel et réactif (découvrir la misconfiguration après déploiement) en un contrôle préventif automatisé (bloquer la misconfiguration avant qu'elle n'atteigne la production). L'IAC Security Gate s'intègre dans les pipelines comme une étape de lint/test dédiée à la sécurité : après la validation syntaxique de l'IAC et avant l'étape de plan/apply Terraform (ou équivalent). Les outils principaux de scan IAC Security — Checkov (open source, Bridgecrew), tfsec (open source, Aqua Security), Terrascan (open source, Accurics), KICS (open source, Checkmarx) — analysent les fichiers IAC contre des centaines de règles de sécurité couvrant AWS, GCP, Azure, Kubernetes, et Docker, et retournent des résultats en JSON/SARIF avec le niveau de sévérité et la remédiation suggérée. Les règles d'un IAC Security Gate couvrent des vérifications comme : S3 bucket public access block non activé (HIGH), groupe de sécurité EC2 avec port 22 ouvert sur 0.0.0.0/0 (HIGH), cluster EKS sans chiffrement des secrets etcd (MEDIUM), bucket S3 sans versioning activé (LOW), container Kubernetes sans resource limits (MEDIUM), service Kubernetes de type LoadBalancer sans restriction source (HIGH). Le gate bloque le pipeline sur les findings de sévérité HIGH et CRITICAL, et génère des avertissements sur MEDIUM et LOW sans blocage. La configuration du seuil de sévérité et des règles d'exception (suppression de findings spécifiques avec justification) est versionnée dans le code (fichier .checkov.yaml ou tfsec.config.yml), permettant une gestion transparente et auditée des exceptions à la politique de sécurité IAC.

Checkov : scanner IAC de référence

Checkov (pip install checkov) scanne Terraform, CloudFormation, Kubernetes, Dockerfile, GitHub Actions : checkov -d terraform/ --framework terraform (scan de tous les fichiers Terraform du répertoire), checkov -f deployment.yaml --framework kubernetes (scan d'un manifeste Kubernetes spécifique), checkov -d . --output sarif > checkov-results.sarif (rapport SARIF pour GitHub Code Scanning). La commande checkov -d . --list-checks liste toutes les règles disponibles (2000+). Pour bloquer le pipeline sur des résultats HIGH/CRITICAL : checkov -d terraform/ --hard-fail-on HIGH (code de sortie non-nul si findings HIGH ou supérieur).

Intégration Terraform pipeline

Intégration complète Terraform CI/CD avec IAC Security Gate : 1) terraform fmt -check (validation syntaxique), 2) terraform validate (validation sémantique), 3) checkov -d . --framework terraform (security scan — BLOQUE si HIGH/CRITICAL), 4) tfsec . (scan complémentaire — BLOQUE si HIGH), 5) terraform plan -out=tfplan (génération du plan), 6) checkov -f tfplan --terraform-plan-scanning (scan du plan généré — détecte des risques non visibles dans les fichiers statiques), 7) approbation manuelle si nécessaire, 8) terraform apply tfplan (application). Ce pipeline garantit qu'aucune misconfiguration de sécurité HIGH n'atteint la production.

Gestion des exceptions IAC Security

La gestion des exceptions (false positives ou risques acceptés) dans les IAC Security Gates : Checkov supporte les suppressions inline (#checkov:skip=CKV_AWS_18:Bucket logging not needed for this use case), les suppressions dans .checkov.yaml (skip-check: [CKV_AWS_18] pour des chemins spécifiques), et les suppressions via Bridgecrew UI avec justification et date d'expiration (pour les exceptions temporaires). Ces suppressions sont versionnées dans Git, visibles en code review, et auditables. Les exceptions sans justification ou avec date d'expiration dépassée sont signalées par les outils de gouvernance de politique de sécurité IAC.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis