checkpoint/shiftleft

镜像概述和主要用途

CloudGuard ShiftLeft是Check Point提供的CLI框架镜像，旨在为CI/CD部署流水线集成安全态势扫描能力。该镜像通过轻量级CLI工具，作为访问CloudGuard各类安全功能模块的统一入口，支持对源代码、容器镜像、无服务器部署包、Terraform基础设施即代码模板等多种对象进行安全态势检查，帮助用户在软件开发生命周期早期发现并解决安全风险。

核心功能和特性

• 多类型对象扫描：支持扫描源代码、容器镜像、无服务器部署包（如AWS Lambda函数）、Terraform模板等多种对象，覆盖开发到部署全流程。
• CI/CD无缝集成：提供简洁的CLI命令，可快速集成到主流CI/CD平台（如Jenkins、GitLab CI、GitHub Actions），实现流水线自动化安全检查。
• CloudGuard功能统一入口：作为框架化工具，可访问CloudGuard提供的各类安全功能模块（blades），实现一站式安全态势管理。
• 自动化早期风险发现：在代码提交、镜像构建、部署前等阶段自动执行扫描，将安全检查左移至开发早期，降低修复成本。

使用场景和适用范围

• CI/CD流水线安全嵌入：在代码构建、镜像打包、部署前验证等流水线环节集成，确保输出物符合安全标准。
• 开发团队安全编码辅助：帮助开发人员在本地开发或代码提交时实时获取安全反馈，优化编码习惯。
• 运维部署合规检查：运维团队在部署基础设施或应用前，通过扫描部署包、Terraform模板等，确保符合企业安全合规要求。
• 企业级DevSecOps落地：支持企业构建"安全左移"的DevSecOps流程，将安全检查融入软件开发生命周期各阶段。

使用方法和配置说明

基本运行命令

通过Docker运行镜像的基本格式如下，需挂载本地文件目录至容器内以提供扫描对象：

bash
docker run --rm -v /本地需扫描文件路径:/scan checkpoint/shiftleft-cli [命令] [参数]

• /本地需扫描文件路径：本地存放待扫描对象（如代码目录、镜像文件）的路径，需挂载到容器内/scan目录。
• [命令]：ShiftLeft CLI核心命令（如scan执行扫描、help查看帮助）。
• [参数]：命令对应的配置选项（如扫描类型、输出格式）。

环境变量配置

使用前需配置CloudGuard服务访问凭证，通过环境变量传入：

• CLOUDGUARD_API_KEY：CloudGuard账户API密钥（必填），用于认证访问CloudGuard服务。
• CLOUDGUARD_REGION：CloudGuard服务区域（如us-east-1），指定服务端点（必填）。
• SCAN_OUTPUT_FORMAT：扫描结果输出格式（可选，支持json/text，默认text）。

典型使用示例

1. 查看CLI帮助信息

bash
docker run --rm checkpoint/shiftleft-cli help

2. 扫描源代码目录

bash
docker run --rm \
  -e CLOUDGUARD_API_KEY="your-api-key" \
  -e CLOUDGUARD_REGION="us-west-2" \
  -v /本地代码目录:/scan \
  checkpoint/shiftleft-cli scan --type code --path /scan

• --type code：指定扫描对象类型为源代码。
• --path /scan：容器内源代码目录路径（对应本地挂载目录）。

3. 扫描容器镜像

bash
docker run --rm \
  -e CLOUDGUARD_API_KEY="your-api-key" \
  -e CLOUDGUARD_REGION="us-west-2" \
  -v /var/run/docker.sock:/var/run/docker.sock \  # 挂载Docker守护进程 socket 以访问本地镜像
  -v /本地镜像存放路径:/scan \
  checkpoint/shiftleft-cli scan --type image --path /scan/my-app-image.tar

4. 扫描Terraform模板

bash
docker run --rm \
  -e CLOUDGUARD_API_KEY="your-api-key" \
  -e CLOUDGUARD_REGION="us-west-2" \
  -v /本地Terraform文件路径:/scan \
  checkpoint/shiftleft-cli scan --type terraform --path /scan/main.tf

输出与结果处理

扫描完成后，结果将默认输出至标准输出（stdout）。若需保存结果文件，可通过重定向或挂载输出目录实现：

bash
docker run --rm -v /本地代码目录:/scan checkpoint/shiftleft-cli scan --type code --path /scan > scan-result.txt