kics

KICS IaC 安全扫描

补充说明

KICS（Keeping Infrastructure as Code Secure）扫描 Terraform、Kubernetes、Dockerfile、CloudFormation、Ansible 等多种 IaC，内置大量安全查询。适合多技术栈的统一扫描。

支持 CLI、Docker 和 CI 集成，输出 JSON、SARIF、HTML 等格式。

常用示例

Docker 扫描：

docker run -t -v $(pwd):/path \
  checkmarx/kics:latest scan -p /path -o /path/results

本地 CLI：

kics scan -p ./infra --report-formats json,sarif --output-path ./reports

只扫描指定类型：

kics scan -p . -t Terraform,Kubernetes

按严重级别失败：

kics scan -p . --fail-on high

查看查询列表：

kics list-queries

易错点与排错

• 扫描路径包含 .terraform 和缓存，结果噪声大。
• 多技术栈混在一起，查询类型没有限制。
• 规则误报没有用注释或忽略文件处理，CI 长期红。
• 只扫描 IaC，不扫描实际云资源漂移。
• 报告格式和 CI 集成不匹配，无法展示问题。
• 版本升级后查询 ID 变化，历史忽略配置失效。
• 扫描结果包含敏感信息，注意报告存储权限。