أدوات الأمان مفتوحة المصدر
Trivy: أداة فحص الثغرات الأمنية الشاملة للصور والتعليمات البرمجية
Trivy هو ماسح ضوئي مفتوح المصدر من Aquasecurity يتحقق من كل شيء تقريبًا في حزمة حديثة: صور الحاويات وأنظمة الملفات، وقوالب IaC، ومستودعات git، وبيانات Kubernetes، والأسرار، والامتثال للترخيص، مع تحديث بيانات CVE باستمرار. تكمن قوتها في الممارسة العملية في كونها الماسح الضوئي الذي يمكن لخط أنابيب CI أن يفتحه فعليًا، مع رموز الخروج التي تفشل في البناء.
النقاط الرئيسية
- السطح واسع بشكل متعمد: حزمة نظام التشغيل CVEs وتبعيات التطبيق (npm، pip، وحدات Go، Java JARs)، تكوينات IaC الخاطئة (Dockerfile/Terraform/K8s)، الأسرار المضمنة (مفاتيح API، المفاتيح الخاصة)، والامتثال للترخيص؛ تقوم أداة واحدة بدمج أربع فئات مسح في استدعاء CLI واحد.
- بوابة CI هي المكافأة التشغيلية: --exit-code 1 --severity CRITICAL,HIGH يحول المسح إلى بوابة بناء؛ يؤدي تجاهل التهديدات الشائعة التي تمت تصفيتها عبر .trivyignore مع تعليقات انتهاء الصلاحية إلى تعيين عادة المراجعة لمدة 90 يومًا والتي تحافظ على البوابة صادقة بدلاً من تجاوزها بشكل دائم.
- تغطي أوضاع المسح الحالة: فحص الصور (السجل أو البرنامج الخفي المحلي)، وفحص نظام الملفات على الأشجار المصدر، وفحص الريبو في سجل git، وفحص مجموعة Kubernetes (عبر الأمر الفرعي k8s)، وإنشاء SBOM (CycloneDX/SPDX) لعمليات التدقيق؛ نفس اتفاقيات CLI في كل مكان تعني انخفاض تكاليف التدريب.
- يحتاج التعامل مع الخطورة إلى سياق: قاعدة البيانات موثوقة فيما يتعلق بـ CVEs ولكنها عمياء عن تعرضك لها (هل يمكن الوصول إليها؟)، لذا فإن نظام الفرز (هل يستخدم التطبيق بالفعل مسار المكتبة هذا؟ هل الخدمة مواجهة للإنترنت؟) ينتمي إلى العملية، وليس إلى الأداة؛ تنتج بوابات الخطورة فقط التي لا تحتوي على حلقة فرز ماسحات ضوئية متجاهلة.
- أنماط النشر التشغيلية: المسح داخل المسار (دمج البوابة)، وعمليات مسح التسجيل المجدولة (التقاط CVEs المنشورة بعد الإنشاء)، وفحوصات وقت القبول على المجموعات (وحدات تحكم القبول في Kubernetes التي تستدعي Trivy)؛ تلتقط المجموعة نافذة CVE المنشورة بعد النشر والتي يفتقدها المسح الفردي.
- تحديد الموقع ضمن مجموعة أدوات الأمان لدينا: Trivy (الضعف/المنع) يكمل Falco (وقت التشغيل/الاكتشاف) وWazuh (نقطة النهاية/طبقات SIEM)؛ إنه الماسح الضوئي الأول الذي نستخدمه في أي مشروع حديث نظرًا لأن صدق CLI وبيئة العمل في CI تغلبت على الأدوات التجارية الأثقل لأول 80%.
ملاحظة ميدانية
مكافحة التطرف العنيف التي أثبتت عادة بوابة CI: تم نشر استشارة نقدية بعد تسعة أيام من إنشاء الصورة بشكل نظيف. تم اكتشاف الأمر من خلال عملية إعادة فحص التسجيل المجدولة، واستغرقت عملية إعادة البناء دقائق. إن الأداة التي تحتوي على رموز الخروج وإيقاع إعادة المسح تستحق عشر أدوات مع لوحات معلومات لا يفتحها أحد.
أسئلة شائعة
Trivy vs OpenVAS (Greenbone): لماذا نقوم بتشغيل كليهما؟
يقوم Trivy بمسح العناصر (الصور، الكود المصدري، التبعيات، IaC) ويكون على شكل CI؛ يقوم OpenVAS بفحص خدمات الشبكة المباشرة على الأجهزة المضيفة باستخدام مجسات موثقة؛ يجيبون على أسئلة مختلفة ويكملون بدلاً من التنافس.
كم مرة يتم تحديث قاعدة بيانات CVE؟
تتم مزامنة قواعد بيانات Trivy بشكل مستمر من مصادر متعددة (NVD، GHSA، Red Hat، AWS، Debian، وما إلى ذلك)؛ تكون التحديثات تلقائية مع تحديث ذاكرة التخزين المؤقت المجدولة، ويطبق الوضع غير المتصل عمليات سحب قاعدة البيانات المخصصة للعقارات ذات الفجوات الهوائية.
ما هو نمط .trivyignore؟
ملف بمعرفات CVE (اختياريًا مع تعليقات انتهاء الصلاحية) التي يتخطاها Trivy؛ النظام عبارة عن إدخالات ذات تاريخ انتهاء الصلاحية مع مبرر ومراجعة ربع سنوية، ويتم التعامل معها بشكل صريح على أنها مخاطر مقبولة وليست دائمة بصمت.
هل يغطي الفحص في وقت الإنشاء المخاطر بشكل كافٍ؟
وهو يغطي ما يتم شحنه؛ يتم نشر CVEs بشكل مستمر، لذا قم بإقران بوابة التدفق مع عمليات إعادة الفحص المجدولة للصور قيد التشغيل وفحوصات وقت القبول في المجموعات، نظرًا لأن الدلتا بين يوم البناء وأسبوع النشر هي المكان الذي يعيش فيه التعرض المفقود.
كيف تساعدك Kinetikatech في أدوات الأمان مفتوحة المصدر
باختصار: يستمر محترفو مجموعة أدوات الاختبار في التحميل: حيث أوضحت الماسحات الضوئية والمتشممون والمفرقعات ووكلاء الويب طريقة استخدامها في الارتباطات الحقيقية - الأوامر والأعلام والمخرجات ومكان كل منها في المنهجية. سلّمها إلى خدمة اختبارات الاختراق و أمن خوادم لينكس لدينا وهي مغطاة: تقييم سليم وتنفيذ نظيف ومراقبة على مدار الساعة.