Checkov 基础设施策略扫描器

解决的问题：IaC 配置的策略漂移与隐性风险

当 Terraform、CloudFormation、Kubernetes 或 Dockerfile 定义基础设施时，一次 "宽松" 的规则设置可能直接演变为安全事故：公开可读的 S3 存储桶、未加密的 RDS 实例、缺少网络策略的 K8s 集群……这些违规项往往分散在多个仓库中，人工 Review 难以覆盖全部变更，更别提跨云环境的策略一致性检查。

核心能力：跨框架扫描与策略自定义

该技能基于 Bridgecrew Checkov 实现静态扫描，核心能力包括：

• 多框架覆盖：支持扫描 Terraform（≥ 0.12）、CloudFormation、Kubernetes Manifest、Dockerfile 等主流 IaC 文件，自动识别资源属性与策略规则的匹配关系。
• 自定义策略：可通过 Python 编写基于属性的策略（如 "所有存储桶必须启用版本控制"），或使用 YAML 定义属性策略与复合策略（多条件组合检查），满足组织特定的合规需求。
• 云平台集成：支持与 Prisma Cloud 联动，将扫描结果同步至统一安全控制台，实现跨工具的策略可视化与告警。

使用时只需在 CI/CD 流程中运行扫描命令，技能会解析 IaC 文件并输出违规项，包括资源路径、违规规则 ID 及修复建议。例如针对 Terraform 代码，扫描器会逐行检查 resource 块的属性配置，与内置或自定义策略规则比对，快速定位高风险配置。

注意点：适用边界与依赖

• 需确保本地或 CI 环境已安装 Checkov（通过 pip 或 brew 安装），且 Terraform 版本不低于 0.12。
• 自定义策略的 Python 脚本需遵循 Checkov 的编写规范，属性策略仅支持 Python 格式，复合策略则需使用 YAML 定义。
• 扫描结果依赖 Checkov 的规则库更新，建议定期升级工具以覆盖最新的合规要求。