Implementando Segurança em Infraestrutura como Código (IaC) com Verificação Automatizada

Quando Usar

• Ao provisionar infraestrutura em nuvem com Terraform, CloudFormation ou Pulumi e precisar de validação de segurança automatizada.
• Quando frameworks de conformidade exigem evidências de revisão da configuração da infraestrutura antes da implantação.
• Ao prevenir configurações incorretas comuns na nuvem, como buckets S3 públicos, grupos de segurança abertos ou armazenamento não criptografado.
• Ao estabelecer "guardrails" (barreiras de proteção) que bloqueiam alterações inseguras na infraestrutura em pull requests.
• Ao gerenciar ambientes multi-cloud que exigem políticas de segurança consistentes entre AWS, Azure e GCP.

Não use para verificar código-fonte de aplicações (use SAST), para monitorar desvios em infraestrutura já implantada (use ferramentas de gerenciamento de postura de segurança em nuvem) ou para verificar vulnerabilidades em imagens de contêineres (use Trivy).

Pré-requisitos

• Checkov v3.x instalado (pip install checkov) ou tfsec instalado.
• Arquivos de IaC (Terraform, CloudFormation ou Kubernetes) no repositório.
• Pipeline de CI/CD com acesso aos diretórios de IaC.
• Chave de API do Bridgecrew (opcional, para integração com a plataforma Checkov).

Fluxo de Trabalho

Passo 1: Executar o Checkov em Arquivos Terraform

# Scan all Terraform files in a directory
checkov -d ./terraform/ --framework terraform --output cli --output json --output-file-path ./results

# Scan specific file
checkov -f main.tf --output json

# Scan Terraform plan (more accurate for dynamic values)
terraform init && terraform plan -out=tfplan
terraform show -json tfplan > tfplan.json
checkov -f tfplan.json --framework terraform_plan

# Scan with specific checks only
checkov -d ./terraform/ --check CKV_AWS_18,CKV_AWS_19,CKV_AWS_20

# Skip specific checks
checkov -d ./terraform/ --skip-check CKV_AWS_145,CKV2_AWS_6

Passo 2: Integrar a Verificação de IaC no GitHub Actions

# .github/workflows/iac-security.yml
name: IaC Security Scan

on:
  pull_request:
    paths:
      - 'terraform/**'
      - 'cloudformation/**'
      - 'k8s/**'

jobs:
  checkov:
    name: Checkov IaC Scan
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Run Checkov
        uses: bridgecrewio/checkov-action@v12
        with:
          directory: terraform/
          framework: terraform
          output_format: cli,sarif
          output_file_path: console,checkov.sarif
          soft_fail: false
          skip_check: CKV_AWS_145

      - name: Upload SARIF
        if: always()
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: checkov.sarif
          category: checkov-iac

  tfsec:
    name: tfsec Scan
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Run tfsec
        uses: aquasecurity/tfsec-action@v1.0.3
        with:
          working_directory: terraform/
          sarif_file: tfsec.sarif
          soft_fail: false

      - name: Upload SARIF
        if: always()
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: tfsec.sarif
          category: tfsec

Passo 3: Criar Políticas Personalizadas no Checkov

# custom_checks/s3_versioning.py
from checkov.terraform.checks.resource.base_resource_check import BaseResourceCheck
from checkov.common.models.enums import CheckResult, CheckCategories


class S3BucketVersioning(BaseResourceCheck):
    def __init__(self):
        name = "Ensure S3 bucket has versioning enabled"
        id = "CKV_CUSTOM_1"
        supported_resources = ["aws_s3_bucket"]
        categories = [CheckCategories.GENERAL_SECURITY]
        super().__init__(name=name, id=id, categories=categories,
                         supported_resources=supported_resources)

    def scan_resource_conf(self, conf):
        versioning = conf.get("versioning", [{}])
        if isinstance(versioning, list) and len(versioning) > 0:
            if versioning[0].get("enabled", [False])[0]:
                return CheckResult.PASSED
        return CheckResult.FAILED


check = S3BucketVersioning()

Passo 4: Configurar Linha de Base e Supressões

# .checkov.yaml
branch: main
compact: true
directory:
  - terraform/
  - cloudformation/
framework:
  - terraform
  - cloudformation
  - kubernetes
output:
  - cli
  - sarif
skip-check:
  - CKV_AWS_145    # S3 default encryption with CMK (using SSE-S3 is acceptable)
  - CKV2_AWS_6     # S3 bucket request logging (handled at CloudTrail level)
soft-fail: false

Passo 5: Verificar Manifestos Kubernetes e Helm Charts

…