ओपन-सोर्स सुरक्षा उपकरण
ट्रिवी: छवियों और कोड के लिए ऑल-इन-वन भेद्यता स्कैनर
ट्रिवी एक्वासिक्योरिटी का ओपन-सोर्स स्कैनर है जो आधुनिक स्टैक में लगभग हर चीज की जांच करता है: कंटेनर इमेज और फाइल सिस्टम, आईएसी टेम्प्लेट, गिट रेपो, कुबेरनेट्स मैनिफ़ेस्ट, रहस्य और लाइसेंस अनुपालन, सीवीई डेटा लगातार अपडेट किया जाता है। व्यवहार में इसकी शक्ति वह स्कैनर है जिस पर सीआई पाइपलाइन वास्तव में गेट लगा सकती है, जिसमें निकास कोड विफल हो जाते हैं।
मुख्य बिंदु
- सतह जानबूझकर चौड़ी है: ओएस पैकेज सीवीई और एप्लिकेशन निर्भरताएं (एनपीएम, पीआईपी, गो मॉड्यूल, जावा जेएआर), आईएसी गलत कॉन्फ़िगरेशन (डॉकरफाइल/टेराफॉर्म/के8एस), एम्बेडेड रहस्य (एपीआई कुंजी, निजी कुंजी), और लाइसेंस अनुपालन; एक उपकरण चार स्कैन श्रेणियों को एक सीएलआई आमंत्रण में संक्षिप्त कर देता है।
- सीआई गेटिंग परिचालन भुगतान है: --एग्जिट-कोड 1 --गंभीरता गंभीर, हाई स्कैनिंग को बिल्ड गेट में बदल देता है; समाप्ति टिप्पणियों के साथ .trivyignore के माध्यम से फ़िल्टर किए गए सीवीई को अनदेखा करना 90-दिवसीय समीक्षा की आदत को निर्धारित करता है जो गेट को स्थायी रूप से बायपास करने के बजाय ईमानदार रखता है।
- स्कैनिंग मोड एस्टेट को कवर करते हैं: इमेज स्कैन (रजिस्ट्री या स्थानीय डेमॉन), सोर्स ट्री पर फाइल सिस्टम स्कैन, गिट हिस्ट्री पर रेपो स्कैन, कुबेरनेट्स क्लस्टर स्कैन (k8s सबकमांड के माध्यम से), और ऑडिट के लिए SBOM जेनरेशन (CycloneDX/SPDX); हर जगह समान सीएलआई सम्मेलनों का मतलब है कम प्रशिक्षण ओवरहेड।
- गंभीरता से निपटने के लिए संदर्भ की आवश्यकता होती है: डीबी सीवीई पर आधिकारिक है लेकिन आपके एक्सपोज़र के लिए अंधा है (क्या यह पहुंच योग्य है?), इसलिए ट्राइएज अनुशासन (क्या ऐप वास्तव में उस लाइब्रेरी पथ का उपयोग करता है? क्या सेवा इंटरनेट-फेसिंग है?) प्रक्रिया में है, उपकरण में नहीं; बिना ट्राइएज लूप वाले केवल गंभीरता वाले गेट उपेक्षित स्कैनर उत्पन्न करते हैं।
- परिचालन परिनियोजन पैटर्न: स्कैन-इन-पाइपलाइन (गेट मर्ज), अनुसूचित रजिस्ट्री स्वीप (निर्माण के बाद प्रकाशित सीवीई को पकड़ें), और क्लस्टर पर प्रवेश-समय की जांच (कुबेरनेट्स प्रवेश नियंत्रक ट्रिवी को लागू करते हुए); संयोजन सीवीई-प्रकाशित-आफ्टर-डिप्लॉयमेंट विंडो को पकड़ता है जो सिंगल-पास स्कैनिंग से चूक जाता है।
- हमारे सुरक्षा-उपकरण सेट के भीतर स्थिति निर्धारण: ट्रिवी (भेद्यता/रोकथाम) फाल्को (रनटाइम/डिटेक्शन) और वाज़ुह (एंडपॉइंट/एसआईईएम परतें) का पूरक है; यह पहला स्कैनर है जिसे हम किसी भी आधुनिक प्रोजेक्ट पर तैनात करते हैं क्योंकि सीएलआई ईमानदारी और सीआई एर्गोनॉमिक्स पहले 80% के लिए भारी वाणिज्यिक टूलींग को हरा देते हैं।
क्षेत्रीय टिप्पणी
सीवीई जिसने सीआई-गेट आदत को साबित कर दिया: छवि साफ होने के नौ दिन बाद प्रकाशित एक महत्वपूर्ण सलाह। निर्धारित रजिस्ट्री पुनः स्कैन ने इसे पकड़ लिया, पुनर्निर्माण में कुछ मिनट लगे। एग्जिट कोड और री-स्कैन रिदम वाला एक टूल उन दस टूल के बराबर है जिनके डैशबोर्ड को कोई नहीं खोलता।
अक्सर पूछे जाने वाले प्रश्न
ट्रिवी बनाम ओपनवीएएस (ग्रीनबोन): हम दोनों क्यों चलाते हैं?
ट्रिवी कलाकृतियों (चित्र, स्रोत कोड, निर्भरता, IaC) को स्कैन करता है और CI-आकार का होता है; ओपनवीएएस प्रमाणित जांच के साथ मेजबानों पर लाइव नेटवर्क सेवाओं को स्कैन करता है; वे विभिन्न प्रश्नों का उत्तर देते हैं और प्रतिस्पर्धा करने के बजाय पूरक होते हैं।
CVE डेटाबेस कितनी बार अद्यतन होता है?
ट्रिवी के डेटाबेस कई अपस्ट्रीम स्रोतों (एनवीडी, जीएचएसए, रेड हैट, एडब्ल्यूएस, डेबियन, आदि) से लगातार सिंक होते हैं; शेड्यूल किए गए कैश रिफ्रेश के साथ अपडेट स्वचालित होते हैं, और ऑफ़लाइन मोड एयर-गैप्ड एस्टेट के लिए कस्टम डीबी पुल लागू करता है।
.trivyignore पैटर्न क्या है?
सीवीई आईडी की एक फ़ाइल (वैकल्पिक रूप से समाप्ति टिप्पणियों के साथ) जिसे ट्रिवी छोड़ देता है; यह अनुशासन औचित्य और त्रैमासिक समीक्षा के साथ समाप्ति तिथि वाली प्रविष्टियाँ है, जिन्हें चुपचाप स्थायी के बजाय स्पष्ट रूप से स्वीकृत जोखिम के रूप में माना जाता है।
क्या निर्माण के समय स्कैनिंग से जोखिम पर्याप्त रूप से कवर हो जाता है?
इसमें जो भेजा गया है उसे शामिल किया गया है; सीवीई लगातार प्रकाशित किए जाते हैं, इसलिए पाइपलाइन गेट को चल रही छवियों के निर्धारित पुन: स्कैन और क्लस्टर में प्रवेश-समय की जांच के साथ जोड़ दें, क्योंकि निर्माण दिवस और तैनाती सप्ताह के बीच का डेल्टा वह जगह है जहां छूटा हुआ एक्सपोजर रहता है।
ओपन-सोर्स सुरक्षा उपकरण में Kinetikatech कैसे सहायता करता है
सीधी बात: परीक्षण टूलबॉक्स पेशेवर वास्तव में लोड रहते हैं: स्कैनर, स्निफ़र, क्रैकर, और वेब प्रॉक्सी ने समझाया कि उनका उपयोग वास्तविक संलग्नक - कमांड, झंडे, आउटपुट, और जहां प्रत्येक एक पद्धति में बैठता है, पर किया जाता है। इसे हमारी पैठ परीक्षण और Linux सर्वर सुरक्षा सेवा को सौंप दें और काम पूरा — सही आकलन, स्वच्छ कार्यान्वयन, चौबीसों घंटे निगरानी।