bridgecrewio/checkov-action
این ابزار چکاول (Checkov) روی کدهای زیرساخت به صورت کد (IaC) مانند Terraform، CloudFormation، Kubernetes و همچنین بسته‌های متن‌باز، تصاویر کانتینر و پیکربندی CI/CD اجرا می‌شود تا اشکالات امنیتی، آسیب‌پذیری‌ها و مشکلات مربوط به مجوزهای نرم‌افزاری را شناسایی کند. ️
کاربرد:
این اکشن در فرآیند CI/CD قرار می‌گیرد و به صورت خودکار کدها را قبل از استقرار بررسی می‌کند تا از رعایت استانداردهای امنیتی و انطباق قانونی اطمینان حاصل شود.
در چه شرایطی بهتره استفاده شود؟
وقتی تیم توسعه از ابزارهای IaC استفاده می‌کنه و می‌خواد اشکالات امنیتی رو در ابتدای خط لوله توسعه کشف کنه، این اکشن گزینه‌ی عالی‌ایه. همچنین برای تیم‌هایی که با کانتینر و بسته‌های open-source کار می‌کنند و نگران ریسک‌های ریشه‌ای یا مجوزهای نرم‌افزاری هستند، مناسبه.
چند مثال از موارد استفاده:
- بررسی فایل‌های Terraform قبل از merge در GitHub Pull Request
- اسکن تصویر Docker در هنگام ساخت در CI
- کنترل تنظیمات GitHub Actions برای جلوگیری از دسترسی‌های غیرمجاز
- شناسایی بسته‌های نرم‌افزاری با مجوزهای ممنوعه در پروژه‌های تجاری
- ##security
- ##devsecops
- ##iac
- ##github
- ##container
- ##open
- ##vulnerability
- ##compliance
- ##checkov
- ##cicd