オープンソースのセキュリティ ツール
Trivy: 画像とコード用のオールインワン脆弱性スキャナー
Trivy は Aquasecurity のオープンソース スキャナであり、コンテナ イメージとファイル システム、IaC テンプレート、git リポジトリ、Kubernetes マニフェスト、シークレット、ライセンス コンプライアンスなど、最新のスタック内のほぼすべてをチェックし、CVE データは継続的に更新されます。実際のその威力は、CI パイプラインが実際にゲートオンし、ビルドに失敗する終了コードを生成できるスキャナーであることです。
要点
- OS パッケージの CVE とアプリケーションの依存関係 (npm、pip、Go モジュール、Java JAR)、IaC の構成ミス (Dockerfile/Terraform/K8s)、埋め込みシークレット (API キー、秘密キー)、ライセンス コンプライアンスなど、対象範囲は意図的に広くなっています。 1 つのツールは 4 つのスキャン カテゴリを 1 つの CLI 呼び出しにまとめます。
- CI ゲートは運用上の利益です。 --exit-code 1 --severity CRITICAL,HIGH はスキャンをビルド ゲートに変えます。有効期限コメントを含む .trivyignore を介してフィルタリングされた CVE を無視すると、ゲートを永久にバイパスするのではなく正直に保つ 90 日間のレビュー習慣が設定されます。
- スキャン モードは、イメージ スキャン (レジストリまたはローカル デーモン)、ソース ツリーでのファイル システム スキャン、git 履歴でのリポジトリ スキャン、Kubernetes クラスタ スキャン (k8s サブコマンド経由)、監査用の SBOM 生成 (CycloneDX/SPDX) などの資産をカバーします。どこでも同じ CLI 規則なので、トレーニングのオーバーヘッドが低くなります。
- 重大度の処理にはコンテキストが必要です。DB は CVE に対して権限を持っていますが、ユーザーのエクスポージャー (到達可能かどうか) には気付かないため、トリアージ規律 (アプリが実際にそのライブラリ パスを使用しているかどうか、サービスがインターネットに接続されているかどうか) はツールではなくプロセスに属します。トリアージ ループのない重大度のみのゲートでは、無視されるスキャナが生成されます。
- 運用デプロイメント パターン: パイプラインでのスキャン (ゲート マージ)、スケジュールされたレジストリ スイープ (ビルド後に公開された CVE のキャッチ)、およびクラスターのアドミッション時間チェック (Trivy を呼び出す Kubernetes アドミッション コントローラー)。この組み合わせにより、シングルパス スキャンでは見逃される展開後の CVE 公開ウィンドウが捕捉されます。
- 当社のセキュリティ ツール セット内での位置付け: Trivy (脆弱性/防止) は Falco (ランタイム/検出) と Wazuh (エンドポイント/SIEM レイヤー) を補完します。これは、CLI の誠実さと CI 人間工学が最初の 80% で重い商用ツールを上回ったため、当社が最新のプロジェクトに導入した最初のスキャナです。
現場ノート
CI ゲートの習慣を証明した CVE: イメージがクリーンに構築されてから 9 日後に発行された重要な勧告。スケジュールされたレジストリの再スキャンで検出され、再構築には数分かかりました。終了コードと再スキャンのリズムを備えたツールは、誰も開かないダッシュボードを備えたツール 10 個の価値があります。
よくある質問
Trivy と OpenVAS (Greenbone): なぜ両方を実行するのでしょうか?
Trivy はアーティファクト (画像、ソース コード、依存関係、IaC) をスキャンし、CI 形式になっています。 OpenVAS は、認証されたプローブを使用してホスト上のライブ ネットワーク サービスをスキャンします。彼らはさまざまな質問に答え、競合するのではなく補完します。
CVE データベースはどのくらいの頻度で更新されますか?
Trivy のデータベースは、複数の上流ソース (NVD、GHSA、Red Hat、AWS、Debian など) から継続的に同期します。更新はスケジュールされたキャッシュ更新により自動的に行われ、オフライン モードではエアギャップ不動産にカスタム DB プルが適用されます。
.trivyignore パターンとは何ですか?
Trivy がスキップする CVE ID のファイル (オプションで有効期限コメント付き)。この規律は、正当な理由と四半期ごとのレビューを伴う有効期限付きエントリであり、暗黙的に永続的なものではなく、許容されたリスクとして明示的に扱われます。
ビルド時のスキャンはリスクを適切にカバーしますか?
出荷されたものを対象とします。 CVE は継続的に公開されるため、実行中のイメージのスケジュールされた再スキャンとクラスター内の受付時間チェックとパイプライン ゲートを組み合わせてください。これは、ビルド日とデプロイ週の間の差が、見逃したエクスポージャーが存在する場所であるためです。
オープンソースのセキュリティ ツール に対するKinetikatechの支援
これは何百回と対応してきたケースです：テスト ツールボックスの専門家は、スキャナー、スニッファー、クラッカー、Web プロキシなど、実際の業務での使用方法、つまりコマンド、フラグ、出力、およびそれぞれが方法論のどこに位置するのかについて説明しました。 ペネトレーションテストとLinuxサーバーセキュリティで、評価、実装、24時間体制の監視、そして重要な時に30分以内の対応という、完全なサイクルを提供します。