Melhores ferramentas de verificação de vulnerabilidades para DevOps em 2026: Trivy, Snyk, Semgrep e mais

Vulnerabilidades de segurança descobertas em organizações de produção custam muito mais para serem corrigidas do que aquelas detectadas durante o desenvolvimento. Esta não é uma visão nova – é o argumento fundamental por trás da segurança do deslocamento para a esquerda. Mas em 2026, com código gerado por IA, arquiteturas de microsserviços em expansão e ataques à cadeia de suprimentos ganhando manchetes a cada trimestre, a verificação de vulnerabilidades em pipelines de DevOps passou de “bom ter” para uma prática de engenharia inegociável.

O cenário de ferramentas amadureceu consideravelmente. Você não está mais escolhendo entre um scanner lento e monolítico que você executa uma vez por sprint e espera pelo melhor. As melhores ferramentas atuais integram-se nativamente ao seu IDE, fluxo de trabalho de pull request, registro de contêiner e fase de plano IaC, fornecendo feedback contínuo sem bloquear a velocidade do desenvolvedor.

Este guia cobre as seis ferramentas de verificação de vulnerabilidades mais importantes para equipes de DevOps e DevSecOps em 2026: o que cada uma faz de melhor, onde fica aquém, qual é o preço e para quais casos de uso está otimizada. Se você estiver criando um pipeline de CI/CD e quiser incorporar a segurança desde o início, esta é sua referência.

Relacionado: Se você está preocupado com a introdução de novos vetores de risco pela codificação assistida por IA, consulte nosso mergulho profundo em vibe coding securityrisks in 2026.

TL;DR — Comparação rápida

⚠️ = suporte parcial ou limitado

Por que a verificação de vulnerabilidades Shift-Left é importante em 2026

A “regra 1:10:100” citada pelo NIST descreve como os custos dos defeitos aumentam em uma ordem de magnitude quanto mais tarde são encontrados: uma vulnerabilidade detectada na revisão de código custa cerca de 10 vezes menos para ser corrigida do que uma encontrada no controle de qualidade e 100 vezes menos do que uma descoberta na produção. Embora os multiplicadores exatos variem de acordo com a organização, a verdade direcional está bem estabelecida e apoiada por décadas de pesquisa em engenharia de software.

Em 2026, as pressões são ainda mais agudas:

• Código gerado por IA é enviado mais rápido, mas pode introduzir vulnerabilidades sutis que os revisores não percebem. Ferramentas como assistentes de revisão de código de IA e scanners SAST capturam o que os humanos não conseguem.
• A expansão de dependências de código aberto significa que um projeto típico de Node.js ou Python pode gerar milhares de dependências transitivas, cada uma delas um risco potencial para a cadeia de suprimentos.
• IaC prolifera o risco de configuração incorreta: os gráficos Terraform, CloudFormation e Helm codificam toda a sua infraestrutura. Um único sinalizador encryption = true ausente torna-se uma falha de conformidade no momento da auditoria.
• Atualização da imagem do contêiner: as imagens base ficam obsoletas. Uma vulnerabilidade no ubuntu:22.04 afeta todos os serviços criados nele até que alguém verifique novamente e reconstrua.

As ferramentas abaixo abordam esses problemas em diferentes camadas da pilha. Os programas DevSecOps mais maduros usam pelo menos dois ou três em combinação.

1. Trivy – Melhor scanner OSS multifuncional

Trivy (mantido pela Aqua Security) se tornou o padrão de fato para verificação de vulnerabilidades de código aberto em ambientes nativos de nuvem e contêineres. O que começou como um scanner de imagem de contêiner evoluiu para uma ferramenta de segurança abrangente que abrange:

• Imagens de contêiner — pacotes de sistema operacional e dependências específicas de idioma
• Sistemas de arquivos e repositórios Git
• Arquivos IaC — Terraform, CloudFormation, manifestos Kubernetes, gráficos Helm
• SBOMs (lista de materiais de software, saída CycloneDX e SPDX)
• Detecção de segredos em arquivos e variáveis de ambiente
• Auditoria de cluster Kubernetes

Por que as equipes de DevOps adoram

A maior vantagem do Trivy é sua amplitude combinada com sobrecarga operacional quase nula. Não há banco de dados para manter separadamente – Trivy baixa seu próprio banco de dados de vulnerabilidades (construído a partir de NVD, GitHub Advisory Database e avisos específicos do sistema operacional) e o armazena em cache localmente. Uma etapa do GitHub Actions verifica uma imagem de contêiner em segundos:

- name: Run Trivy vulnerability scanner
  uses: aquasecurity/trivy-action@master
  with:
    image-ref: 'my-app:latest'
    format: 'sarif'
    output: 'trivy-results.sarif'
    severity: 'CRITICAL,HIGH'

Prós

• Totalmente gratuito e de código aberto (Apache 2.0)
• Binário único, sem necessidade de agente
• Excelentes integrações CI/CD (GitHub Actions, GitLab CI, Jenkins, CircleCI)
• Saída SARIF para integração da guia GitHub Security
• Desenvolvimento ativo e grande comunidade
• Geração SBOM para conformidade da cadeia de suprimentos

Contras

• SAST (análise de código personalizado) não está no escopo — ele encontra CVEs conhecidos, não bugs lógicos
• Sem painel SaaS ou integração de ingressos prontos para uso (você precisaria da plataforma comercial do Aqua)
• O gerenciamento de políticas em escala requer scripts personalizados

Preços

Gratuito e de código aberto. A plataforma comercial da Aqua Security (Aqua Platform) estende o Trivy com proteção de tempo de execução, painéis SaaS e suporte empresarial, mas o scanner principal não tem custo.

Melhor para

Equipes que desejam um scanner de ampla cobertura e custo zero para pipelines de CI/CD, especialmente aqueles que já usam contêineres e IaC. Ponto de partida perfeito para organizações novas em DevSecOps.

2. Snyk – Melhor para segurança que prioriza o desenvolvedor

Snyk foi o pioneiro na filosofia de segurança “desenvolvedor em primeiro lugar” — a ideia de que as ferramentas de segurança devem estar onde os desenvolvedores trabalham (plugins IDE, GitHub PRs, CLI) em vez de serem portas de auditoria separadas. Em 2026, o Snyk se tornará uma plataforma completa de segurança de aplicativos, abrangendo:

• Snyk Open Source — SCA para módulos npm, pip, Maven, Go e muito mais
• Snyk Code — mecanismo SAST proprietário com feedback IDE em tempo real
• Snyk Container — digitalização de imagens com recomendações básicas de atualização de imagem
• Snyk IaC — Modelos Terraform, CloudFormation, Kubernetes, ARM
• Snyk AppRisk — priorização de riscos de aplicativos

Por que as equipes de DevOps adoram

A característica mais forte do Snyk é sua orientação de correção. Quando encontra uma dependência vulnerável, ele não apenas relata o CVE — ele informa exatamente qual atualização de versão resolve o problema, se essa atualização quebra sua API e abre uma solicitação pull automatizada. Para as equipes que gastam um tempo significativo na triagem e correção de vulnerabilidades, isso reduz drasticamente a fadiga dos alertas.

O mecanismo SAST Snyk Code também é notavelmente rápido em comparação com ferramentas de análise estática tradicionais, retornando resultados embutidos no VS Code ou IDEs JetBrains em segundos, em vez de minutos.

Prós

• Plataforma unificada cobrindo SCA, SAST, contêiner e IaC em um painel
• PRs de correção automatizada – genuinamente úteis, não apenas ruído
• As melhores integrações IDE da categoria (VS Code, IntelliJ, Eclipse)
• Forte integração Jira/Slack para fluxos de trabalho de triagem
• Priorização baseada na análise de acessibilidade (a função vulnerável é realmente chamada?)
• Certificado SOC 2 Tipo II, compatível com GDPR

Contras

• Limites de nível gratuito: 200 testes de código aberto/mês, sem relatórios SAST ou IaC
• Pode ficar caro em grande escala – o preço empresarial exige um orçamento
• Algumas equipes consideram a grande variedade de alertas esmagadora antes de ajustar as políticas
• SCM auto-hospedado (GitHub Enterprise Server, GitLab on-prem) requer plano Ignite ou superior

Preços

• Grátis: Até 10 desenvolvedores colaboradores, 200 testes OSS/mês, integração IDE + SCM
• Equipe: a partir de aproximadamente US$ 25/desenvolvedor colaborador/mês (até 10 desenvolvedores), 1.000 testes de OSS/mês, integração com Jira
• Ignite: para organizações com menos de 50 desenvolvedores que precisam de recursos empresariais (SCM auto-hospedado, relatórios)
• Enterprise: preços personalizados, desenvolvedores ilimitados, políticas personalizadas, suporte dedicado

Melhor para

Equipes de desenvolvimento que desejam orientações de correção acionáveis incorporadas em seu fluxo de trabalho GitHub/GitLab existente e estão dispostas a pagar por uma experiência de desenvolvedor refinada. Particularmente forte para ecossistemas JavaScript, Python e Java.

3. Grype — Melhor scanner leve de contêiner OSS/SCA

Grype (da Anchore) é um scanner de vulnerabilidade rápido e focado para imagens de contêineres e sistemas de arquivos. Ao contrário da abordagem de “verificar tudo” do Trivy, o Grype tem como escopo deliberado a detecção de CVE em pacotes - ele faz esse trabalho muito bem e é comumente combinado com Syft (gerador SBOM da Anchor) para análise abrangente da cadeia de suprimentos.

Principais recursos

• Verifica imagens de contêiner, arquivos OCI, daemon Docker e sistemas de arquivos
• Suporte profundo a pacotes de linguagens: Python, Ruby, Java JARs, npm, .NET, binários Go
• Integra-se com Syft para fluxos de trabalho SBOM first (gerar SBOM uma vez, digitalizar repetidamente)
• Combine a filtragem por gravidade, nome do pacote ou ID CVE
• Formatos de saída SARIF, JSON e tabela

Prós

• Extremamente rápido — adequado para orçamentos apertados de CI/CD
• Excelente verificação binária Go (detecta versões stdlib vulneráveis em binários compilados)
• Saída JSON limpa, fácil de canalizar para mecanismos de política
• Leve — binário único, sem daemon
• Forte integração com painel Anchore Enterprise for SaaS + gerenciamento de políticas

Contras

• Sem varredura IaC, sem SAST
• Sem detecção de segredos
• A camada de gerenciamento SaaS requer Anchore Enterprise (comercial)
• Conjunto de regras menor que o Trivy para alguns bancos de dados de consultoria de sistema operacional

Preços

Gratuito e de código aberto (Apache 2.0). Anchore Enterprise adiciona gerenciamento SaaS, relatórios de conformidade e proteção de tempo de execução a preços comerciais.

Melhor para

Equipes que desejam um scanner CVE rápido e programável que se integre perfeitamente aos fluxos de trabalho SBOM. Especialmente bom para organizações que adotam a primeira postura de segurança SBOM de acordo com a Ordem Executiva 14028 (requisitos federais da cadeia de fornecimento de software dos EUA).

4. Verificação de dependência OWASP – Melhor para ecossistemas Java/JVM

OWASP Dependency-Check é uma ferramenta SCA veterana que identifica dependências de projetos e verifica vulnerabilidades conhecidas e divulgadas publicamente. É particularmente forte em ecossistemas de linguagem JVM (Java, Kotlin, Scala, Groovy) e tem suporte nativo a plug-ins Maven e Gradle.

Principais recursos

• Suporta Java, .NET, JavaScript (npm), Ruby e muito mais
• NVD (National Vulnerability Database) como fonte primária
• Formatos de relatório HTML, XML, JSON, CSV, SARIF
• Plug-in Maven, plug-in Gradle, tarefa Ant, CLI
• Supressão de falsos positivos via configuração XML

Prós

• Totalmente gratuito, governado pelo OWASP (sem dependência de fornecedor)
• Integração nativa Maven/Gradle — nenhuma etapa extra de CI é necessária
• Excelente trilha de auditoria para fins de conformidade
• Amplamente aceito em setores regulamentados (bancos, saúde)

Contras

• Lento na primeira execução (baixa grandes arquivos de dados NVD); execuções subsequentes armazenam cache localmente
• Os limites de taxa da API do NVD podem causar atrasos no pipeline se não forem configurados corretamente com uma chave de API
• Limitado a CVEs conhecidos — configurações incorretas e segredos estão fora do escopo
• A UI/relatórios é funcional, mas desatualizada em comparação com alternativas comerciais
• Não adequado para monorepos poliglotas com muitos ecossistemas

Preços

Gratuito e de código aberto (Apache 2.0).

Melhor para

Equipes com uso intenso de Java em setores regulamentados que precisam de uma ferramenta SCA auditável e de custo zero que se integre naturalmente às compilações Maven ou Gradle.

5. Semgrep – Melhor para regras SAST personalizadas

Semgrep é um mecanismo de análise estática rápido e de código aberto que permite que as equipes de segurança e engenharia escrevam regras personalizadas em uma linguagem de padrão simples e legível. Ele suporta mais de 30 idiomas e possui um registro de milhares de regras comunitárias e profissionais para detectar vulnerabilidades de segurança, uso indevido de API e problemas de qualidade de código.

Principais recursos

• SAST (teste estático de segurança de aplicativos) — encontra bugs em seu próprio código
• SCA — via Semgrep Supply Chain (análise de dependência de OSS com acessibilidade)
• Detecção de segredos — via Semgrep Secrets
• Criação de regras personalizadas em sintaxe de padrão intuitiva
• Análise de fluxo de dados para reduzir falsos positivos
• Extensões IDE (VS Code, IntelliJ)

Por que as equipes de DevOps adoram

O recurso matador do Semgrep é personalização de regras sem complexidade. Escrever uma regra para sinalizar eval() em Python ou atribuições innerHTML em JavaScript leva minutos, não dias de aprendizado de uma DSL proprietária. Os campeões de segurança integrados nas equipes de produto podem criar regras para os padrões específicos de sua própria base de código, criando uma política de segurança viva que evolui com o código.

A análise de acessibilidade no Semgrep Supply Chain também é notavelmente útil: ela suprime alertas OSS CVE onde a função vulnerável é importada, mas nunca é realmente chamada, reduzindo o ruído por uma margem significativa.

Prós

• Rápido - projetado para ser executado em cada PR com análise por arquivo em menos de um segundo
• Formato de regra independente de linguagem — uma habilidade se aplica a Python, JS, Go, Java, etc.
• Grande registro de regras da comunidade (Registro Semgrep)
• Filtragem de acessibilidade para SCA (menos alertas falsos positivos)
• Saída SARIF, integração de segurança avançada do GitHub
• Gratuito para até 10 colaboradores

Contras

• Não é um contêiner ou scanner IaC (existem algumas regras IaC, mas a cobertura é limitada)
• A análise do fluxo de dados pode deixar passar alguns padrões complexos de vulnerabilidade
• Recursos empresariais (Segredos, Supply Chain PRO, verificações gerenciadas) exigem plano Equipe/Empresa
• A qualidade das regras no registro da comunidade varia — é necessária verificação

Preços

• Gratuito (Comunidade): Até 10 colaboradores, SAST via Código Semgrep, SCA básico
• Equipe: preços personalizados, SCA avançado (Semgrep Supply Chain), Semgrep Secrets, fluxos de trabalho de triagem
• Enterprise: preços personalizados, verificações gerenciadas, SSO, registros de auditoria, suporte dedicado

Melhor para

Equipes de engenharia que desejam codificar o conhecimento de segurança como regras personalizadas e executar SAST rápido em cada commit. Também é excelente como uma camada sobre um scanner de contêiner como o Trivy – cobrindo a camada de código que o Trivy não cobre.

6. Checkov – Melhor para verificação de segurança IaC

Checkov (da Bridgecrew/Palo Alto Networks) é a principal ferramenta de política como código de código aberto para segurança de infraestrutura como código. Ele verifica Terraform, CloudFormation, manifestos Kubernetes, gráficos Helm, modelos ARM, Bicep, estrutura Serverless e muito mais em relação a centenas de políticas integradas derivadas de benchmarks CIS, NIST, PCI-DSS, SOC2 e estruturas HIPAA.

Principais recursos

• Mais de 1.000 políticas integradas em todas as principais estruturas IaC
• Criação de políticas personalizadas em Python ou YAML
• Análise baseada em gráficos para Terraform (detecta problemas que exigem compreensão das relações de recursos)
• SARIF, JUnit XML, saída JSON
• Sinalizador --soft-fail para adoção gradual sem quebrar pipelines
• Integração com Prisma Cloud para gerenciamento e relatórios de políticas SaaS

Por que as equipes de DevOps adoram

Checkov é executado na fase de “plano de terraform” – antes do provisionamento da infraestrutura – tornando-o o primeiro portão possível para detectar configurações incorretas da nuvem. Uma verificação típica detecta coisas como:

• Buckets S3 sem criptografia do lado do servidor habilitada
• Grupos de segurança com entrada 0.0.0.0/0 na porta 22
• Pods do Kubernetes rodando como root
• Instâncias RDS sem proteção contra exclusão
• Funções Lambda com funções IAM excessivamente permissivas

Essas são as configurações incorretas comuns que causam a maioria das violações da nuvem — não explorações de dia zero, mas falhas básicas de higiene que a aplicação automatizada de políticas elimina.

Prós

• Totalmente gratuito e de código aberto (Apache 2.0)
• A mais ampla cobertura da estrutura IaC de qualquer ferramenta de código aberto
• A análise Terraform baseada em gráficos detecta problemas de vários recursos
• Fácil filtragem --framework e --check para adoção incremental
• Forte integração CI/CD: GitHub Actions, GitLab CI, Jenkins, ganchos de pré-confirmação
• Integração Prisma Cloud para equipes que precisam de gerenciamento SaaS

Contras

• Limitado ao IaC - não é um scanner de contêiner ou ferramenta SAST
• A criação de políticas personalizadas em Python requer esforço de engenharia
• Grandes conjuntos de políticas produzem saída ruidosa em bases de código legadas (use --soft-fail inicialmente)
• O nível comercial do Prisma Cloud (para painéis e detecção de desvios) é caro

Preços

Gratuito e de código aberto (Apache 2.0). Prisma Cloud (Palo Alto Networks) fornece uma camada SaaS empresarial com detecção de desvios, gerenciamento de supressão e painéis de conformidade – preços por meio de cotação personalizada.

Melhor para

Equipes de engenharia e infraestrutura de plataforma que desejam evitar configurações incorretas da nuvem antes da implantação como parte de um fluxo de trabalho orientado por GitOps ou Terraform. Funciona perfeitamente com ferramentas GitOps.

Dicas de integração CI/CD

Obter a verificação de vulnerabilidades em seu pipeline sem destruir a velocidade do desenvolvedor requer alguma reflexão. Aqui estão os padrões que funcionam bem:

Falha rápida em CRÍTICO, Avisa em ALTO

Não bloqueie PRs em cada CVE médio – você criará fadiga de alerta e os desenvolvedores trabalharão em torno dos portões. Um limite prático:

• CRÍTICO: Falha grave, mesclagem de bloco
• ALTO: Falha leve, comentário no PR com detalhes
• MÉDIO/BAIXO: Somente relatório, sem bloco de mesclagem

A maioria das ferramentas suporta filtragem de gravidade por meio de sinalizadores CLI (--severity CRITICAL,HIGH em Trivy, --fail-on critical em Grype).

Use o cache para manter as verificações rápidas

Trivy e Grype mantêm bancos de dados de vulnerabilidades locais. Armazene em cache os diretórios ~/.cache/trivy ou ~/.cache/grype em seu cache de CI para evitar o download do banco de dados completo em cada execução. Isto reduz significativamente o tempo de digitalização.

Digitalize em vários pontos

Os pipelines DevSecOps mais eficazes verificam em vários estágios:

1. IDE/pré-commit — O plugin Snyk IDE ou Semgrep detecta problemas à medida que o código é escrito
2. Verificação de PR — Trivy/Grype em contêineres alterados, Semgrep SAST em arquivos alterados, Checkov em IaC alterado
3. Envio de registro — verificação completa da imagem final antes de enviá-la para seu registro de contêiner
4. Agendado — Varredura noturna de repositório completo com Snyk ou Trivy para capturar CVEs recém-publicados em dependências fixadas

Exporte SARIF para visibilidade centralizada

Trivy, Grype, Semgrep e Checkov suportam saída SARIF. A guia Segurança do GitHub ingere o SARIF nativamente, oferecendo uma visão centralizada das descobertas em todas as ferramentas sem um SIEM ou painel de segurança separado. Este é o caminho mais fácil para consolidar a visibilidade da vulnerabilidade para equipes nativas do GitHub.

Combinações de ferramentas recomendadas por caso de uso

Para equipes que estão começando do zero, a combinação Trivy + Semgrep cobre a maior área de superfície a custo zero: Trivy lida com contêineres, IaC e CVEs OSS; Semgrep lida com regras SAST personalizadas para o código do seu aplicativo. Adicione Checkov se você estiver gerenciando uma infraestrutura significativa do Terraform e avalie Snyk quando a equipe precisar de uma experiência de usuário de desenvolvedor refinada com PRs de correção automatizados.

Leitura Adicional

Para uma compreensão mais profunda dos princípios de segurança por trás dessas ferramentas, vale a pena manter estes livros em sua mesa:

• Container Security por Liz Rice — a referência definitiva para entender a segurança de contêineres do kernel para cima. Leitura essencial para quem possui estratégia de segurança de contêineres.
• Hacking: The Art of Exploitation de Jon Erickson — entender como os invasores pensam torna você um defensor melhor. Altamente recomendado para engenheiros de DevSecOps que desejam entender o “porquê” por trás das classificações de severidade CVE.

Veja também: Ferramentas de otimização de custos de nuvem para 2026 — porque a infraestrutura de verificação de segurança tem sua própria pegada de custos que vale a pena otimizar. E AI Code Review Tools 2026 para o lado humano complementar da prevenção de vulnerabilidades.

Perguntas frequentes

Qual é a melhor ferramenta gratuita de verificação de vulnerabilidades para pipelines DevOps em 2026?

Trivy é a opção gratuita mais versátil em 2026. Ele verifica imagens de contêiner, arquivos IaC, sistemas de arquivos e repositórios Git em busca de CVEs, configurações incorretas e segredos – tudo com uma única ferramenta CLI e sem custo. Para cobertura SAST do código do seu aplicativo, combine o Trivy com o nível de comunidade gratuito do Semgrep (até 10 colaboradores).

Qual é a diferença entre SAST e SCA na verificação de vulnerabilidades?

SAST (Static Application Security Testing) analisa seu próprio código-fonte em busca de bugs de segurança – coisas como injeção de SQL, padrões XSS, uso de criptografia insegura ou segredos codificados. SCA (Software Composition Analysis) analisa suas dependências de código aberto de terceiros em busca de CVEs conhecidos. Um pipeline DevSecOps completo normalmente usa ambos: ferramentas SAST como Semgrep para seu código e ferramentas SCA como Trivy, Grype ou Snyk Open Source para suas dependências.

Como faço para integrar o Trivy nas ações do GitHub?

Use o aquasecurity/trivy-action oficial. Adicione uma etapa ao seu fluxo de trabalho YAML: especifique image-ref (para verificações de contêiner) ou scan-type: 'fs' para verificações de sistema de arquivos/repo. Defina format: 'sarif' e carregue a saída para a verificação de código do GitHub com actions/upload-sarif para ver os resultados na guia Segurança do seu repositório. Defina severity: CRITICAL,HIGH e exit-code: '1' para falhar no fluxo de trabalho em descobertas sérias.

O Snyk vale o custo em comparação com ferramentas gratuitas como o Trivy?

Depende das prioridades da sua equipe. As principais vantagens do Snyk sobre as ferramentas gratuitas são suas solicitações automatizadas de correção (que economizam tempo significativo do desenvolvedor), suas integrações IDE refinadas que revelam problemas à medida que o código é escrito e seu painel unificado para descobertas de SCA + SAST + contêiner + IaC. Se a experiência do desenvolvedor e a velocidade de correção são mais importantes do que o custo das ferramentas, o Snyk geralmente se paga com a redução do tempo de correção. Para equipes com orçamento limitado ou aquelas que estão confortáveis ​​com ferramentas CLI, Trivy + Semgrep cobre a maior parte do mesmo terreno a custo zero.

O que significa ‘segurança shift-left’ em DevOps?

Segurança deslocada para a esquerda significa mover as verificações de segurança mais cedo no ciclo de vida de desenvolvimento de software – para a esquerda em uma linha do tempo tradicional em cascata. Em vez de executar verificações de segurança apenas antes dos lançamentos de produção, as práticas shift-left executam verificações de vulnerabilidades no IDE do desenvolvedor, em cada solicitação pull e em cada estágio do pipeline de CI/CD. O objetivo é detectar vulnerabilidades quando for mais barato corrigi-las: antes de o código ser mesclado, não depois de implantado.

Checkov pode verificar manifestos do Kubernetes e também do Terraform?

Sim. Checkov oferece suporte a manifestos YAML do Kubernetes, gráficos Helm, arquivos Kustomize, Terraform, CloudFormation, modelos ARM, Bicep, Ansible e vários outros formatos IaC. Use o sinalizador --framework para limitar a verificação a estruturas específicas. Para Kubernetes, Checkov verifica configurações incorretas de segurança comuns, como pods executados como root, limites de recursos ausentes e contêineres com hostNetwork ou hostPID habilitados.

Com que frequência devo executar verificações de vulnerabilidade em um pipeline DevOps?

A prática recomendada em 2026 é fazer a varredura em vários pontos: SAST leve no IDE conforme o código é escrito, uma varredura completa em cada solicitação pull, uma varredura no momento do push do registro do contêiner e uma varredura noturna ou semanal programada de todas as dependências fixadas para capturar CVEs recém-publicados. Novas vulnerabilidades são divulgadas diariamente, portanto, mesmo o código que passou por uma verificação na semana passada pode estar vulnerável hoje se um novo CVE for publicado em uma de suas dependências.