← Все статьи

Snyk vs Checkov 2.3 для Terraform 1.9: что показал бенчмарк

На 127 модулях Checkov нашёл на ~20% больше misconfiguration, быстрее сканирует и дешевле — но Snyk проще в PR-интеграции.

Теги
Новостиdevopsterraform
Содержание

Коротко

Сравнение Snyk IaC и Checkov 2.3 на 127 production-модулях Terraform 1.9: Checkov нашёл 1247 уникальных проблем против 1039 у Snyk (~+20%), FP чуть ниже (2.8% vs 3.2%), скан быстрее. Но «победитель» зависит от размера DevOps-команды и того, нужен ли zero-config PR scanning.

Что произошло

Бенчмарк на AWS c7g.2xlarge, Terraform 1.9.0, дефолтные policy sets, три прогона, дедупликация и ручная валидация FP тремя инженерами. В тестовых модулях намеренно заложены типичные дыры: публичный S3 ACL, Principal: "*", отсутствие encryption, removed block с destroy = false, непомеченный sensitive в terraform_data.

Checkov 2.3.8+ добавил политики под фичи TF 1.9 (removed, terraform_data); автор утверждает, что Snyk 1.1290 покрывает лишь часть из 12 новых правил Checkov — отсюда разрыв на AWS-модулях до ~22%.

Почему это важно

IaC-сканирование — первая линия до продакшена. Пропуск 20% misconfig в S3/RDS — это не абстрактная статистика, а инциденты (в кейсе fintech — три мелких до миграции).

Критерий Snyk Checkov 2.3
Issues (127 modules) 1039 1247
Скорость ~12.4 mod/s ~14.1 mod/s
Кастомные политики Rego (OPA) Python / YAML
PR из коробки GitHub App ~12 мин pre-commit + Actions ~4 ч
Стоимость (50 eng.) ~$12k/год $0 OSS / ~$8k enterprise

На практике

  1. Terraform 1.9+ — включите CKV_TF_1…CKV_TF_3 для removed и sensitive input в terraform_data.
  2. Малая команда (<5 DevOps) — Snyk GitHub App для PR; ночной Checkov batch для «хвоста» находок (~99% покрытие в гибриде из статьи).
  3. Миграция — 30 дней параллельных сканов (snyk iac test + checkov -d), тюнинг FP, обучение формата отчётов.
  4. Не верьте чужому 20% — прогоните на своих модулях (микс AWS/GCP/Azure сдвигает дельту).

Checkov выигрывает на AWS и кастомных политиках; Snyk — на скорости внедрения и едином дашборде с container/SCA.

Итог

Для зрелой платформенной команды с TF 1.9 Checkov 2.3 выглядит сильнее по покрытию и TCO. Для стартапов с малым DevOps Snyk остаётся разумным входом, если дополнить ночным Checkov. Выбор — не религия, а гибрид + параллельный аудит перед сменой инструмента.