KICS

Définition

KICS (Keeping Infrastructure as Code Secure) est un outil open source de scanning statique pour l'Infrastructure as Code développé par Checkmarx. Il analyse les fichiers de configuration IaC pour détecter des vulnérabilités, des mauvaises configurations et des violations de conformité dans Terraform, CloudFormation, Kubernetes, Ansible, Docker, Helm, et plus de 15 autres formats IaC. KICS se distingue par sa large couverture multi-format et son ensemble de 2,400+ queries couvrant les CIS Benchmarks, les meilleures pratiques AWS/Azure/GCP, les frameworks de conformité (PCI-DSS, HIPAA, GDPR, SOC 2, NIST), et des règles de sécurité spécifiques aux technologies. Chaque query est classifiée par sévérité (CRITICAL, HIGH, MEDIUM, LOW, INFO) et référencée vers les standards de sécurité. KICS peut s'utiliser en CLI (kics scan -p ./infrastructure --report-formats json,html), en mode CI/CD (GitHub Actions, GitLab CI, Jenkins, Azure DevOps), et en tant que pre-commit hook pour bloquer les commits de code IaC non conforme. Il génère des rapports HTML lisibles par les développeurs avec les fichiers affectés, les lignes de code, les descriptions de vulnérabilités, et les suggestions de remédiation. L'architecture des queries KICS repose sur OPA/Rego, permettant à la communauté de contribuer de nouvelles règles. La bibliothèque de queries est maintenue par Checkmarx et mise à jour régulièrement avec de nouvelles règles pour les nouvelles fonctionnalités des providers cloud et les nouvelles vulnérabilités découvertes. Les organisations peuvent créer des queries personnalisées pour leurs politiques de sécurité internes. KICS s'intègre avec les outils de gestion des résultats comme DefectDojo et Jira pour le suivi des remédations. Il peut être combiné avec d'autres scanners IaC (Checkov, Terrascan, tfsec) dans un pipeline de sécurité multi-outils pour une couverture maximale.