Инструменти за сигурност с отворен код
Trivy: Всичко-в-едно скенер за уязвимости за изображения и код
Trivy е скенерът с отворен код на Aquasecurity, който проверява почти всичко в модерен стек: изображения на контейнери и файлови системи, IaC шаблони, git repos, манифести на Kubernetes, тайни и съответствие с лицензи, с CVE данни, актуализирани непрекъснато. Неговата сила на практика е да бъде скенерът, към който CI тръбопроводът може действително да проникне, с изходни кодове, които се провалят при изграждането.
Ключови точки
- Повърхността е умишлено широка: CVE на ОС пакет и зависимости на приложения (npm, pip, Go модули, Java JAR), IaC неправилни конфигурации (Dockerfile/Terraform/K8s), вградени тайни (API ключове, частни ключове) и съответствие с лиценза; един инструмент свива четири категории сканиране в едно CLI извикване.
- CI gating е оперативната печалба: --exit-code 1 --сериозност КРИТИЧНА, ВИСОКА превръща сканирането в изграждане на врата; игнорирането на филтрираните CVE чрез .trivyignore с коментари за изтичане на срока на годност задава навика за 90-дневен преглед, който поддържа вратата честна, вместо да бъде заобиколена завинаги.
- Режимите на сканиране покриват имуществото: сканиране на изображение (регистър или локален демон), сканиране на файловата система на дървета на източниците, репо сканиране на git история, сканиране на Kubernetes клъстер (чрез подкоманда k8s) и генериране на SBOM (CycloneDX/SPDX) за одити; едни и същи CLI конвенции навсякъде означават ниски разходи за обучение.
- Обработката на сериозността се нуждае от контекст: DB е авторитетен за CVE, но е сляп за вашето излагане (достъпно ли е?), така че дисциплината на сортиране (приложението действително ли използва този път на библиотеката? услугата е обърната към интернет?) принадлежи към процеса, а не към инструмента; Гейтове само за сериозност без триажен цикъл произвеждат игнорирани скенери.
- Модели на оперативно разгръщане: сканиране в конвейер (сливания на портали), планирани проверки на регистъра (улавяне на CVE, публикувани след компилация) и проверки по време на допускане на клъстери (контролери за допускане на Kubernetes, извикващи Trivy); комбинацията улавя прозореца CVE-published-after-deploy, който сканирането с едно преминаване пропуска.
- Позициониране в рамките на нашия набор от инструменти за сигурност: Trivy (уязвимост/предотвратяване) допълва Falco (време на изпълнение/откриване) и Wazuh (крайна точка/SIEM слоеве); това е първият скенер, който внедряваме във всеки модерен проект, защото честността на CLI и CI ергономичността побеждават по-тежките търговски инструменти за първите 80%.
Бележка от терен
CVE, който доказа навика на CI-gate: критичен съвет, публикуван девет дни след изчистено изображение. Планираното повторно сканиране на системния регистър го хвана, възстановяването отне минути. Инструмент с кодове за изход и ритъм на повторно сканиране струва десет инструмента с табла за управление, които никой не отваря.
Често задавани въпроси
Trivy срещу OpenVAS (Greenbone): защо стартираме и двете?
Trivy сканира артефакти (изображения, изходен код, зависимости, IaC) и има CI-форма; OpenVAS сканира живи мрежови услуги на хостове с удостоверени сонди; те отговарят на различни въпроси и се допълват, а не се конкурират.
Колко често се актуализира базата данни на CVE?
Базите данни на Trivy се синхронизират непрекъснато от множество източници нагоре (NVD, GHSA, Red Hat, AWS, Debian и др.); актуализациите са автоматични с планирано опресняване на кеша, а офлайн режимът прилага персонализирани изтегляния на DB за имоти с въздушна празнина.
Какво представлява моделът .trivyignore?
Файл с CVE ID (по избор с коментари за изтичане), който Trivy пропуска; дисциплината е вписвания с изтекъл срок на годност с обосновка и тримесечен преглед, третиран изрично като приет риск, а не мълчаливо постоянен.
Сканирането по време на изграждане покрива ли адекватно риска?
Покрива това, което е изпратено; CVE се публикуват непрекъснато, така че сдвоете шлюза на тръбопровода с планирани повторни сканирания на работещи изображения и проверки на времето за допускане в клъстери, тъй като делтата между деня на изграждане и седмицата на внедряване е мястото, където се намира пропуснатото излагане.
Как Kinetikatech помага с инструменти за сигурност с отворен код
Правили сме това стотици пъти: Професионалистите от инструментариума за тестване всъщност поддържат заредени: скенери, снифери, кракери и уеб проксита обясниха начина, по който се използват при реални ангажименти – команди, флагове, изходи и къде седи всеки от тях в методологията. С Тестове за проникване и Сигурност на Linux сървъра получавате пълния цикъл: оценяваме, внедряваме, следим непрекъснато и реагираме до 30 минути, когато е нужно.