Cloud, Container & IaC Security

Episode 04/5 — KICS + Prowler

Tool versions: KICS 2.2.0 + Prowler 5.42.0

Pendahuluan

IaC menentukan infrastructure yang akan dibuat. Cloud assessment melihat posture resource yang benar-benar berjalan.

KICS dan Prowler mengisi dua sisi tersebut.

1. KICS

KICS atau Keeping Infrastructure as Code Secure adalah open-source tool dari Checkmarx untuk menemukan vulnerability, compliance issue dan infrastructure misconfiguration.

Versi tutorial: 2.2.0.

Dengan container:

docker pull checkmarx/kics:v2.2.0

Scan:

docker run -t --rm   -v "$PWD:/path"   checkmarx/kics:v2.2.0   scan -p /path -o /path/results

2. Cara kerja KICS

Secara konseptual:

IaC → Parser → Universal representation → Query → Finding

KICS menggunakan query dan Rego untuk mendeskripsikan kondisi security.

Ini membuat security policy dapat diperlakukan sebagai code.

3. Custom policy

Contoh policy organisasi:

• production resource wajib encryption;
• public exposure dilarang;
• logging wajib;
• resource wajib memiliki tag;
• network rule tertentu dilarang.

Policy seperti ini dapat dimasukkan ke workflow CI.

4. Prowler

Prowler adalah cloud security assessment tool. Episode ini menggunakan Prowler 5.42.0 dan fokus pada AWS.

Verifikasi CLI:

python3 -m venv .venv-prowler
source .venv-prowler/bin/activate
pip install prowler==5.42.0
prowler -v

5. Verifikasi AWS identity

Sebelum assessment:

aws sts get-caller-identity

Ini adalah langkah sederhana tetapi sangat penting.

Pastikan account dan role yang aktif benar-benar target assessment.

6. Assessment

Mulai dengan:

prowler aws --help

Kemudian:

prowler aws

Gunakan opsi sesuai release untuk region, service, check, output dan compliance framework.

7. KICS vs Prowler

KICS menjawab:

Apakah configuration yang akan dibuat sudah aman?

Prowler menjawab:

Bagaimana posture security cloud resource yang benar-benar ada?

Workflow:

Terraform
 ↓
KICS
 ↓
Pull Request
 ↓
Apply
 ↓
AWS
 ↓
Prowler
 ↓
Continuous Assessment

8. Least privilege

Prowler membutuhkan akses untuk membaca cloud configuration.

Gunakan assessment role khusus.

Hindari personal administrator credential bila role assessment dapat digunakan.

Untuk multi-account environment, gunakan governance yang jelas dan cross-account role sesuai kebutuhan.

9. Finding dan ownership

Finding harus memiliki:

• resource;
• account;
• region;
• control;
• severity/context;
• owner;
• remediation;
• exception jika ada.

Security dashboard tanpa owner hanya menjadi daftar masalah.

10. Compliance bukan security score

Compliance framework membantu memastikan control tertentu diperiksa.

Tetapi:

Compliance ≠ Complete Security

Threat model, application behavior, identity, data exposure, network, logging dan incident response tetap diperlukan.

11. CI/CD strategy

Jangan langsung memblokir semua finding.

Mulai:

Report → Baseline → Prioritize → Remediate → Gate critical controls

Dengan cara ini security control menjadi sustainable.

Kesimpulan

KICS dan Prowler sangat cocok dipasangkan dalam lifecycle security. KICS membawa policy ke IaC sebelum deployment, sedangkan Prowler memberi visibility terhadap cloud posture setelah resource berjalan. Kombinasi keduanya membantu mengurangi jarak antara preventive control dan continuous assessment.

Referensi resmi

• https://github.com/Checkmarx/kics
• https://docs.kics.io/latest/
• https://github.com/prowler-cloud/prowler
• https://docs.prowler.com/

Seri: Cloud, Container & IaC Security
Episode: 04/5
Tools: KICS + Prowler