Alat Keamanan Sumber Terbuka
Trivy: Pemindai Kerentanan Lengkap untuk Gambar dan Kode
Trivy adalah pemindai sumber terbuka Aquasecurity yang memeriksa hampir semua hal dalam tumpukan modern: gambar kontainer dan sistem file, templat IaC, repo git, manifes Kubernetes, rahasia, dan kepatuhan lisensi, dengan data CVE yang terus diperbarui. Kekuatannya dalam praktiknya adalah menjadi pemindai yang dapat digunakan oleh pipeline CI, dengan kode keluar yang gagal dibuat.
Poin Utama
- Permukaannya sengaja dibuat lebar: CVE paket OS dan dependensi aplikasi (npm, pip, modul Go, Java JAR), kesalahan konfigurasi IaC (Dockerfile/Terraform/K8s), rahasia yang tertanam (kunci API, kunci pribadi), dan kepatuhan lisensi; satu alat menciutkan empat kategori pemindaian menjadi satu pemanggilan CLI.
- CI gating adalah hasil operasional: --exit-code 1 --severity CRITICAL,HIGH mengubah pemindaian menjadi gerbang build; mengabaikan CVE yang difilter melalui .trivyignore dengan komentar kedaluwarsa menetapkan kebiasaan peninjauan 90 hari yang menjaga gerbang tetap jujur daripada dilewati secara permanen.
- Mode pemindaian mencakup estate: pemindaian gambar (registrasi atau daemon lokal), pemindaian sistem file pada pohon sumber, pemindaian repo pada riwayat git, pemindaian cluster Kubernetes (melalui subperintah k8s), dan pembuatan SBOM (CycloneDX/SPDX) untuk audit; konvensi CLI yang sama di mana pun berarti overhead pelatihan yang rendah.
- Penanganan tingkat keparahan memerlukan konteks: DB berwenang pada CVE tetapi tidak mengetahui keterpaparan Anda (apakah dapat dijangkau?), jadi disiplin triase (apakah aplikasi benar-benar menggunakan jalur perpustakaan tersebut? apakah layanan terhubung ke internet?) termasuk dalam proses, bukan pada alat; gerbang yang hanya menangani tingkat keparahan tanpa loop triase menghasilkan pemindai yang diabaikan.
- Pola penerapan operasional: scan-in-pipeline (penggabungan gerbang), pembersihan registri terjadwal (menangkap CVE yang dipublikasikan setelah pembuatan), dan pemeriksaan waktu masuk pada klaster (pengontrol penerimaan Kubernetes menggunakan Trivy); kombinasi tersebut menangkap jendela CVE-published-after-deploy yang terlewatkan oleh pemindaian sekali jalan.
- Pemosisian dalam rangkaian alat keamanan kami: Trivy (kerentanan/pencegahan) melengkapi Falco (runtime/deteksi) dan Wazuh (lapisan titik akhir/SIEM); ini adalah pemindai pertama yang kami terapkan pada proyek modern mana pun karena kejujuran CLI dan ergonomi CI mengalahkan perkakas komersial yang lebih berat untuk 80% pertama.
Catatan Lapangan
CVE yang membuktikan kebiasaan gerbang CI: sebuah nasihat kritis yang diterbitkan sembilan hari setelah gambar dibuat bersih. Pemindaian ulang registri terjadwal menangkapnya, pembangunan kembali memakan waktu beberapa menit. Sebuah alat dengan kode keluar dan ritme pemindaian ulang bernilai sepuluh alat dengan dasbor yang tidak dibuka oleh siapa pun.
Pertanyaan Umum
Trivy vs OpenVAS (Greenbone): mengapa kita menjalankan keduanya?
Trivy memindai artefak (gambar, kode sumber, dependensi, IaC) dan berbentuk CI; OpenVAS memindai layanan jaringan langsung pada host dengan probe yang diautentikasi; mereka menjawab pertanyaan yang berbeda dan saling melengkapi daripada bersaing.
Seberapa sering database CVE diperbarui?
Basis data Trivy disinkronkan secara terus menerus dari berbagai sumber upstream (NVD, GHSA, Red Hat, AWS, Debian, dll.); pembaruan dilakukan secara otomatis dengan penyegaran cache terjadwal, dan mode offline menerapkan penarikan DB khusus untuk wilayah dengan celah udara.
Apa pola .trivyignore itu?
File ID CVE (opsional dengan komentar kedaluwarsa) yang dilewati Trivy; disiplin ini adalah entri bertanggal kedaluwarsa dengan pembenaran dan tinjauan triwulanan, diperlakukan secara eksplisit sebagai risiko yang diterima dan bukan permanen secara diam-diam.
Apakah pemindaian pada waktu pembuatan cukup menutupi risiko?
Ini mencakup apa yang dikirimkan; CVE dipublikasikan terus-menerus, jadi pasangkan gerbang pipeline dengan pemindaian ulang terjadwal dari gambar yang sedang berjalan dan pemeriksaan waktu masuk dalam cluster, karena delta antara hari pembuatan dan minggu penerapan adalah tempat di mana paparan yang terlewat berada.
Bagaimana Kinetikatech membantu dengan alat keamanan sumber terbuka
Usahanya sederhana: Toolbox pengujian yang profesional tetap terisi: pemindai, sniffer, cracker, dan proxy web menjelaskan cara mereka digunakan dalam keterlibatan nyata — perintah, tanda, keluaran, dan posisi masing-masing dalam suatu metodologi. Serahkan pada layanan kami Penetration Test dan Keamanan Server Linux dan Anda terlindungi: dievaluasi menyeluruh, diimplementasikan rapi, dipantau 24 jam.