Інструменти безпеки з відкритим кодом
Trivy: універсальний сканер уразливостей для зображень і коду
Trivy — це сканер з відкритим вихідним кодом Aquasecurity, який перевіряє майже все в сучасному стеку: зображення контейнерів і файлові системи, шаблони IaC, репозиторії git, маніфести Kubernetes, секрети та відповідність ліцензії, з даними CVE, які постійно оновлюються. Його потужність на практиці полягає в тому, що він є сканером, який може фактично використовувати конвеєр CI, з кодами виходу, які не піддаються збірці.
Головне
- Поверхня навмисно широка: CVE пакетів ОС і залежності програм (модулі npm, pip, Go, Java JAR), неправильні конфігурації IaC (Dockerfile/Terraform/K8s), вбудовані секрети (ключі API, закриті ключі) і відповідність ліцензії; один інструмент згортає чотири категорії сканування в один виклик CLI.
- Стробування CI — це операційна винагорода: --exit-code 1 --серйозність КРИТИЧНА, ВИСОКА перетворює сканування на ворота побудови; ігнорування відфільтрованих CVE через .trivyignore з коментарями щодо закінчення терміну дії встановлює 90-денну звичку перегляду, яка зберігає ворота чесними, а не постійно обходить їх.
- Режими сканування охоплюють майно: сканування зображень (реєстр або локальний демон), сканування файлової системи на деревах джерел, сканування репозиторію в історії git, сканування кластера Kubernetes (через підкоманду k8s) і створення SBOM (CycloneDX/SPDX) для аудиту; однакові угоди CLI всюди означають низькі витрати на навчання.
- Обробка серйозності потребує контексту: БД є авторитетною щодо CVE, але не бачить вашого впливу (чи вона доступна?), тому дисципліна сортування (чи програма справді використовує цей бібліотечний шлях? чи послуга звернена до Інтернету?) належить до процесу, а не до інструменту; Шлюзи лише для рівня серйозності без циклу сортування створюють ігноровані сканери.
- Шаблони оперативного розгортання: сканування в конвеєрі (злиття шлюзів), запланована перевірка реєстру (перехоплення CVE, опублікованих після збірки) і перевірки часу доступу в кластерах (контролери доступу Kubernetes, що викликають Trivy); комбінація вловлює вікно CVE-published-after-deploy, яке пропускає однопрохідне сканування.
- Позиціонування в нашому наборі інструментів безпеки: Trivy (вразливість/запобігання) доповнює Falco (виконання/виявлення) і Wazuh (кінцева точка/рівні SIEM); це перший сканер, який ми використовуємо в будь-якому сучасному проекті, тому що чесність CLI та ергономіка CI перевершують важкі комерційні інструменти протягом перших 80%.
Польова нотатка
CVE, який довів звичку CI-gate: критична порада, опублікована через дев’ять днів після створення чистого зображення. Планове повторне сканування реєстру виявило його, відновлення зайняло кілька хвилин. Інструмент із кодами виходу та ритмом повторного сканування вартий десяти інструментів із інформаційними панелями, які ніхто не відкриває.
Часті запитання
Trivy проти OpenVAS (Greenbone): чому ми запускаємо обидва?
Trivy сканує артефакти (зображення, вихідний код, залежності, IaC) і має форму CI; OpenVAS сканує живі мережеві служби на хостах за допомогою автентифікованих зондів; вони відповідають на різні запитання та доповнюють, а не конкурують.
Як часто оновлюється база даних CVE?
Бази даних Trivy постійно синхронізуються з кількох вихідних джерел (NVD, GHSA, Red Hat, AWS, Debian тощо); оновлення відбуваються автоматично із запланованим оновленням кешу, а режим офлайн застосовує користувальницькі залучення БД для нерухомості з розривом повітря.
Що таке шаблон .trivyignore?
Файл ідентифікаторів CVE (необов’язково з коментарями щодо терміну дії), які Trivy пропускає; дисципліна — це записи із закінченням терміну дії з обґрунтуванням і щоквартальним переглядом, які розглядаються явно як прийнятий ризик, а не як тихо постійний.
Чи сканування під час створення адекватно покриває ризик?
Він охоплює те, що відправлено; CVE публікуються безперервно, тому поєднайте шлюз конвеєра із запланованими повторними скануваннями запущених зображень і перевірками часу доступу в кластерах, оскільки дельта між днем створення та тижнем розгортання є місцем, де зберігається пропущений доступ.
Допомога Kinetikatech: інструменти безпеки з відкритим кодом
Це те, чим ми займаємося щодня: Професіонали з інструментів тестування фактично постійно завантажені: сканери, сніфери, зломщики та веб-проксі пояснили, як вони використовуються в реальних залученнях — команди, позначки, виходи та місце кожного з них у методології. Наша служба Тести на проникнення та Безпека серверів Linux бере все на себе — оцінювання, впровадження, цілодобовий контроль і екстрене реагування протягом 30 хвилин.