kicsでInfrastructure-as-Codeの静的解析をしよう

kicsとは

Infrastructure-as-CodeのためのOSSアナライザー
セキュリティの脆弱性、コンプライアンスの問題、およびインフラストラクチャの構成ミスを
早期に検知することができる

kicsを使用するメリット

• デプロイなしでチェック可能
• 人間によるレビューよりも短い時間でチェック可能
• 高度な知識を持つレビュアーがいなくてもチェック可能

使用方法

config構成

• CLI、CI(GitLab)いずれの場合でも共通

kics.config.yaml

path: scan
verbose: true
log-file: true
output-path: "results"
report-formats:
  - html
  - sarif
  - glsast

実行方法

CLIの場合

• 下記URLからダウンロード、パスを通す

kics scan  --config kics.config.yaml

CI(GitLab)の場合

• GitLab、GitLab-runnerの構成方法は省略
• 下記のようにCIを構成する

.gitlab-ci.yml

kics-scan:
  image: 
    name: checkmarx/kics:latest
    entrypoint: [""]
  script:
    - kics scan --config kics.config.yaml
  artifacts:
    paths:
      - results
    reports:
      sast: results/gl-sast-results.json
    when: always

レポート

html

sarif

• VSCode拡張で参照可能