เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Trivy: เครื่องสแกนช่องโหว่แบบ All-in-One สำหรับรูปภาพและโค้ด
Trivy เป็นเครื่องสแกนโอเพ่นซอร์สของ Aquasecurity ที่ตรวจสอบเกือบทุกอย่างในสแต็กสมัยใหม่: อิมเมจคอนเทนเนอร์และระบบไฟล์, เทมเพลต IaC, repos git, รายการ Kubernetes, ความลับ และการปฏิบัติตามใบอนุญาต โดยมีข้อมูล CVE อัปเดตอย่างต่อเนื่อง พลังในทางปฏิบัติของมันคือเครื่องสแกนที่ไปป์ไลน์ CI สามารถควบคุมได้จริง โดยมีรหัสทางออกที่ล้มเหลวในการสร้าง
ประเด็นสำคัญ
- พื้นผิวกว้างอย่างจงใจ: CVE แพ็คเกจ OS และการพึ่งพาแอปพลิเคชัน (npm, pip, โมดูล Go, Java JARs), การกำหนดค่า IaC ไม่ถูกต้อง (Dockerfile/Terraform/K8s), ความลับที่ฝังไว้ (คีย์ API, คีย์ส่วนตัว) และการปฏิบัติตามใบอนุญาต เครื่องมือหนึ่งจะยุบหมวดหมู่การสแกนสี่หมวดหมู่ให้เป็นการเรียกใช้ CLI เดียว
- CI gating คือผลตอบแทนในการปฏิบัติงาน: --exit-code 1 --severity CRITICAL,HIGH เปลี่ยนการสแกนเป็น build gate; การเพิกเฉยต่อ CVE ที่ถูกกรองผ่าน .trivyignore พร้อมด้วยความคิดเห็นที่หมดอายุจะกำหนดพฤติกรรมการทบทวน 90 วันที่ทำให้เกตมีความซื่อสัตย์ แทนที่จะข้ามไปอย่างถาวร
- โหมดการสแกนครอบคลุมคุณสมบัติ: การสแกนรูปภาพ (รีจิสทรีหรือ daemon ในเครื่อง), การสแกนระบบไฟล์บนแผนผังต้นทาง, การสแกน repo บนประวัติ git, การสแกนคลัสเตอร์ Kubernetes (ผ่านคำสั่งย่อย k8s) และการสร้าง SBOM (CycloneDX/SPDX) สำหรับการตรวจสอบ ข้อตกลง CLI เดียวกันทุกแห่งทำให้ค่าใช้จ่ายในการฝึกอบรมต่ำ
- การจัดการความรุนแรงจำเป็นต้องมีบริบท: DB นั้นมีสิทธิ์ใน CVE แต่ปกปิดความเสี่ยงของคุณ (สามารถเข้าถึงได้หรือไม่) ดังนั้นวินัยในการคัดแยก (แอปใช้เส้นทางไลบรารีนั้นจริง ๆ หรือไม่ บริการที่เชื่อมต่อกับอินเทอร์เน็ตหรือไม่) อยู่ในกระบวนการ ไม่ใช่ในเครื่องมือ ประตูเฉพาะความรุนแรงที่ไม่มีลูป Triage จะสร้างเครื่องสแกนที่ถูกละเว้น
- รูปแบบการปรับใช้การปฏิบัติงาน: การสแกนในไปป์ไลน์ (การรวมเกต) การกวาดล้างรีจิสทรีตามกำหนดเวลา (จับ CVE ที่เผยแพร่หลังจากบิวด์) และการตรวจสอบเวลาการรับเข้าบนคลัสเตอร์ (ตัวควบคุมการรับเข้า Kubernetes เรียกใช้ Trivy) การรวมกันนี้จะจับหน้าต่าง CVE-published-after-deploy ที่การสแกนแบบ single-pass พลาดไป
- การวางตำแหน่งภายในชุดเครื่องมือรักษาความปลอดภัยของเรา: Trivy (ช่องโหว่/การป้องกัน) เสริม Falco (รันไทม์/การตรวจจับ) และ Wazuh (เลเยอร์จุดสิ้นสุด/SIEM); เป็นสแกนเนอร์เครื่องแรกที่เรานำไปใช้กับโปรเจ็กต์สมัยใหม่ใดๆ เนื่องจากความซื่อสัตย์ของ CLI และการยศาสตร์ของ CI เอาชนะเครื่องมือเชิงพาณิชย์ที่หนักกว่าในช่วง 80% แรก
บันทึกจากหน้างาน
CVE ที่พิสูจน์พฤติกรรมของ CI-gate: คำแนะนำที่สำคัญเผยแพร่เก้าวันหลังจากสร้างภาพลักษณ์ที่สะอาดหมดจด การสแกนรีจิสทรีตามกำหนดการอีกครั้งตรวจพบได้ การสร้างใหม่ใช้เวลาไม่กี่นาที เครื่องมือที่มีรหัสทางออกและจังหวะการสแกนซ้ำนั้นมีค่าเท่ากับเครื่องมือสิบชิ้นที่ไม่มีใครเปิดแดชบอร์ด
คำถามที่พบบ่อย
Trivy กับ OpenVAS (Greenbone): ทำไมเราถึงรันทั้งสองอย่าง?
Trivy สแกนสิ่งประดิษฐ์ (รูปภาพ, ซอร์สโค้ด, การอ้างอิง, IaC) และเป็นรูป CI; OpenVAS สแกนบริการเครือข่ายสดบนโฮสต์ด้วยโพรบที่ได้รับการรับรองความถูกต้อง พวกเขาตอบคำถามที่แตกต่างกันและเสริมมากกว่าการแข่งขัน
ฐานข้อมูล CVE อัพเดตบ่อยแค่ไหน?
ฐานข้อมูลของ Trivy ซิงค์อย่างต่อเนื่องจากแหล่งอัปสตรีมหลายแห่ง (NVD, GHSA, Red Hat, AWS, Debian ฯลฯ ); การอัปเดตจะเป็นไปโดยอัตโนมัติพร้อมการรีเฟรชแคชตามกำหนดเวลา และโหมดออฟไลน์จะใช้การดึง DB แบบกำหนดเองสำหรับพื้นที่ที่มีช่องว่างอากาศ
รูปแบบ .trivyignore คืออะไร
ไฟล์ CVE ID (เป็นทางเลือกที่มีความคิดเห็นหมดอายุ) ที่ Trivy ข้าม วินัยเป็นรายการลงวันที่หมดอายุโดยมีเหตุผลและการทบทวนรายไตรมาส ซึ่งถือเป็นความเสี่ยงที่ยอมรับได้อย่างชัดเจน แทนที่จะเป็นการถาวรอย่างเงียบๆ
การสแกน ณ เวลาก่อสร้างครอบคลุมความเสี่ยงเพียงพอหรือไม่
ครอบคลุมถึงสิ่งที่จัดส่ง CVE มีการเผยแพร่อย่างต่อเนื่อง ดังนั้นให้จับคู่ไปป์ไลน์เกตกับการสแกนซ้ำตามกำหนดเวลาของอิมเมจที่รันอยู่และการตรวจสอบเวลาการรับเข้าในคลัสเตอร์ เนื่องจากส่วนต่างระหว่างวันที่สร้างและสัปดาห์ปรับใช้คือจุดที่การเปิดรับแสงที่พลาดไป
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
เราเคยรับเรื่องแบบนี้มาเป็นร้อยครั้ง: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี กับ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux คุณได้วงจรครบ ตั้งแต่เราประเมิน ลงมือทำ เฝ้าดูตลอดเวลา และรับเรื่องภายใน 30 นาทีเมื่อจำเป็น