Checkov项目实战：GitHub组织安全配置扫描指南-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_01096/article/details/148464059

Checkov项目实战：GitHub组织安全配置扫描指南

checkov checkov能对 Terraform、CloudFormation、Kubernetes 等多种IaC模板进行自动化的安全性和合规性审查，有助于在部署阶段就发现并修复基础设施相关的安全风险。项目地址: https://gitcode.com/gh_mirrors/ch/checkov

前言

在现代软件开发中，代码托管平台的安全配置至关重要。Checkov作为一款开源的基础设施即代码(IaC)静态分析工具，不仅支持云资源配置扫描，还提供了对代码托管平台安全配置的检查能力。本文将详细介绍如何使用Checkov扫描和验证代码托管平台的组织安全配置。

核心功能概述

Checkov的代码托管平台配置扫描功能主要具备以下能力：

自动获取组织级别的安全配置信息
验证配置是否符合安全最佳实践
支持自定义策略检查
生成详细的扫描报告

环境准备与配置

必要环境变量

使用Checkov进行扫描前，需要配置以下环境变量：

| 变量名称 | 默认值 | 说明 | |---------|-------|------| | CKV_GITHUB_CONFIG_FETCH_DATA | "True" | 控制是否从API获取配置数据 | | CKV_GITHUB_CONF_DIR_NAME | "github_conf" | 配置数据存储目录 | | GITHUB_API_URL | "https://api.github.com/" | API端点地址 | | GITHUB_TOKEN | 无 | 个人访问令牌 | | GITHUB_REF | refs/heads/master | 分支保护规则检查的目标分支 | | GITHUB_ORG | 无 | 目标组织名称 | | GITHUB_REPOSITORY | 无 | 目标仓库名称 | | GITHUB_REPO_OWNER | 无 | 仓库所有者 |

典型配置示例

# 配置访问令牌
export GITHUB_TOKEN="your_personal_access_token"

# 配置网络证书(可选)
export REQUESTS_CA_BUNDLE="/path/to/cert.pem"
export BC_CA_BUNDLE="custom_cert.txt"

扫描执行

完成环境配置后，执行以下命令启动扫描：

checkov -d . --framework github_configuration

策略检查详解

Checkov提供了多种内置策略来验证组织安全配置，包括但不限于：

双因素认证(2FA)检查
单点登录(SSO)配置检查
IP白名单检查
分支保护规则检查

策略实现示例

以下是一个检查2FA是否启用的策略实现：

from checkov.github.base_github_org_security import OrgSecurity

class Github2FA(OrgSecurity):
    def __init__(self):
        name = "确保组织安全设置要求2FA认证"
        id = "CKV_GITHUB_1"
        super().__init__(
            name=name,
            id=id
        )

    def get_evaluated_keys(self):
        return ['data/organization/requiresTwoFactorAuthentication']

check = Github2FA()

扫描结果解读

Checkov会生成详细的扫描报告，示例如下：

github_configuration 扫描结果:

通过检查: 2, 失败检查: 1, 跳过检查: 0

检查项: CKV_GITHUB_3: "确保组织安全设置启用了IP白名单"
    结果: 通过
    文件: /github_conf/org_security.json:2-15

检查项: CKV_GITHUB_2: "确保组织安全设置要求SSO"
    结果: 通过
    文件: /github_conf/org_security.json:2-15

检查项: CKV_GITHUB_1: "确保组织安全设置要求2FA"
    结果: 失败
    文件: /github_conf/org_security.json:2-15

报告会明确指出每个检查项的通过状态，并标识出问题所在的文件和具体行号。