技能 iac-checkov

📦

iac-checkov

Name: iac-checkov
Author: AgentSecOps

v0.1.0 内容修订 r2 高风险 🌐 网络访问📁 文件系统访问🔑 环境变量⚙️ 外部命令

使用 Checkov 扫描 IaC

基础设施团队需要在部署前快速获得关于高风险云配置的反馈。此技能可指导 IaC 工作流中的 Checkov 扫描、策略调优和合规报告。

支持: Claude Codex Code(CC)

⚠️ 38 差

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "iac-checkov" from https://skillstore.io/skills/agentsecops-iac-checkov.md and its manifest at https://skillstore.io/api/skills/agentsecops-iac-checkov/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/agentsecops-iac-checkov.md 已签名 manifest GET /api/skills/agentsecops-iac-checkov/manifest 已签名 lockfile GET /api/skills/agentsecops-iac-checkov/lockfile

测试它

正在使用“iac-checkov”。用户要求为新仓库制定 Terraform 扫描计划。

预期结果:

一个简洁的扫描工作流，包含框架选择、输出格式、基线建议和严重性门控建议。

正在使用“iac-checkov”。用户询问某个 Checkov 抑制项是否可接受。

预期结果:

一份风险审查，涵盖业务理由、补偿性控制、到期时间、审批要求和后续操作。

正在使用“iac-checkov”。用户请求合规报告指导。

预期结果:

一份清单，将 Checkov 输出关联到审计证据、报告留存和控制负责人审查。

安全审计

高风险

v9 • 2026/7/23 打开版本化报告

Manual review dismissed 154 static alerts as documentation, fixed-path parsing, exclusions, placeholders, or safe command examples. One unpinned remote-policy example is confirmed, and semantic review found fail-open CI logic, mutable privileged dependencies, and weakened default enforcement. No prompt injection or data-exfiltration intent was found.

已扫描文件

2,461

分析行数

复核项

已忽略误报

已确认安全问题 (3)

高

assets/github_actions.yml:146-168

Security Gate Can Pass When Checkov Fails

The GitHub security gate captures the Checkov exit code but never uses it. If no report is created, the file check is skipped and the step reports success.

The script assigns EXIT_CODE after Checkov, only evaluates findings when the report exists, and has no final nonzero exit. The success message is unconditional.

高

assets/github_actions.yml:21-35 assets/github_actions.yml:58-59 assets/github_actions.yml:81-82 assets/github_actions.yml:110-111 assets/gitlab_ci.yml:9-10

Mutable CI Dependencies Run With Write Permissions

The workflow grants write permissions globally and runs Checkov actions from the mutable master branch. It also installs unpinned packages and uses latest container tags.

The files explicitly use bridgecrewio/checkov-action@master, pip install without a version, and bridgecrew/checkov:latest. Global write permissions increase the impact of dependency compromise.

中

assets/checkov_config.yaml:11-38 assets/pre_commit_config.yaml:11-15

Default Templates Weaken Scan Enforcement

The main configuration globally skips several security checks, excludes tests and examples, and soft-fails lower severities. The default pre-commit scan also warns without blocking.

These settings are active defaults in templates intended for project use. They reduce coverage or enforcement unless adopters notice and override them.

能力复核项 (1)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

中

references/custom_policies.md:287

Hardcoded URL

checkov -d ./terraform --external-checks-git https://github.com/org/policies.git

The example loads external checks from a mutable Git repository without a pinned revision. A copied configuration could execute changed or untrusted policy code during a scan.

风险因素

🌐 网络访问 (25)

📁 文件系统访问 (3)

assets/checkov_config.yaml:27 assets/github_actions.yml:176 assets/github_actions.yml:176

🔑 环境变量 (1)

assets/checkov_config.yaml:74

⚙️ 外部命令 (50)

assets/github_actions.yml:183-192 assets/github_actions.yml:156 assets/github_actions.yml:157 assets/gitlab_ci.yml:111 assets/gitlab_ci.yml:142 assets/gitlab_ci.yml:143 assets/gitlab_ci.yml:187 references/suppression_guide.md:133 SKILL.md:39-48 SKILL.md:48-52 SKILL.md:52-61 SKILL.md:61-65 SKILL.md:65-71 SKILL.md:71-75 SKILL.md:75-78 SKILL.md:78-86 SKILL.md:86-93 SKILL.md:93-105 SKILL.md:105-117 SKILL.md:117-131 SKILL.md:131-144 SKILL.md:144-156 SKILL.md:156-163 SKILL.md:163-165 SKILL.md:165-178 SKILL.md:178-180 SKILL.md:180-186 SKILL.md:186-207 SKILL.md:207-211 SKILL.md:211-213 SKILL.md:213-215 SKILL.md:215-221 SKILL.md:221-234 SKILL.md:234-243 SKILL.md:243-251 SKILL.md:251-276 SKILL.md:276-282 SKILL.md:282-291 SKILL.md:291-295 SKILL.md:295-298 SKILL.md:298-302 SKILL.md:302-316 SKILL.md:316-320 SKILL.md:320-342 SKILL.md:342-344 SKILL.md:344-352 SKILL.md:352-361 SKILL.md:361-374 SKILL.md:374-383 SKILL.md:383-398

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/agentsecops-iac-checkov/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-iac-checkov/security.svg)](https://skillstore.io/skills/agentsecops-iac-checkov?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/agentsecops-iac-checkov?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-iac-checkov/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/agentsecops-iac-checkov.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

AgentSecOps. (2026). iac-checkov security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-iac-checkov/audits/9

BibTeX 引用

@techreport{agentsecops-agentsecops-iac-checkov-2026,
  author = {AgentSecOps},
  title = {iac-checkov security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-iac-checkov/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "iac-checkov security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-iac-checkov/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-iac-checkov:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

100

可维护性

内容

社区

规范符合性

你能构建什么

合并前 IaC 安全审查

在拉取请求上运行 Checkov，并在合并前阻止关键的 Terraform、Kubernetes 或 Dockerfile 配置错误。

合规证据准备

生成与 CIS、PCI-DSS、HIPAA、SOC2、NIST 或 GDPR 审查工作流对齐的 Checkov 报告。

自定义策略推出

创建组织特定的 Checkov 策略，并在 CI 强制执行前使用示例基础设施进行测试。

试试这些提示

运行首次扫描

帮我在 Terraform 目录上运行基本的 Checkov 扫描。说明命令、预期输出和后续操作。

添加 CI 安全门控

为 Terraform 和 Kubernetes 设计一个 Checkov CI 门控。它应在出现关键和高危发现时失败，并将报告保留为构件。

审查抑制项

审查这些 Checkov 抑制项的风险。识别薄弱的理由、缺失的审批以及更好的补偿性控制。

创建自定义策略

帮我设计并测试一个用于必需云资源标签和合规报告的自定义 Checkov 策略。

最佳实践

从基线开始，然后仅针对新的关键和高危发现让构建失败。
对每个高风险抑制项要求清晰的业务理由和审查。
在生产使用前，将 CI actions 和容器镜像固定到稳定版本或摘要。

避免

不要在没有负责人、到期日期和风险依据的情况下抑制 Checkov 发现。
不要扫描 Terraform state 文件或可能包含密钥的目录。
不要在未固定依赖项和审查权限的情况下，将示例 CI 模板复制到生产环境。

常见问题

此技能涵盖哪些 IaC 框架？

它涵盖 Terraform、Kubernetes、CloudFormation、Dockerfile、Helm、ARM、secrets 扫描以及相关 CI 工作流。

此技能会自动运行 Checkov 吗？

不会。它提供指导和模板。由用户或 CI 环境运行 Checkov 命令。

它能帮助处理合规报告吗？

可以。它说明 Checkov 输出格式，以及面向 CIS、PCI-DSS、HIPAA、SOC2、NIST 和 GDPR 工作流的映射。

它能创建自定义 Checkov 策略吗？

可以。它包含 Python 和 YAML 自定义策略指导，以及测试和加载示例。

团队应如何处理误报？

使用有文档记录的抑制项，并包含审批、补偿性控制、到期日期和定期审查。

生产使用前应更改哪些内容？

固定可变的 CI 依赖项，审查权限，替换占位符，并使严重性门控与团队策略保持一致。

开发者详情

作者

AgentSecOps

许可证

MIT

作者版本

v0.1.0

Skillstore 修订

仓库

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/devsecops/iac-checkov

引用

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

维护新鲜度

2026/7/28

使用量

9 次下载 · 416 次浏览

文件结构

📁 assets/

📄 .gitkeep

📄 checkov_config.yaml

📄 github_actions.yml

📄 gitlab_ci.yml

📄 pre_commit_config.yaml

📁 references/

📄 compliance_mapping.md

📄 custom_policies.md

📄 EXAMPLE.md

📄 suppression_guide.md

📄 SKILL.md