ওপেন সোর্স সিকিউরিটি টুলস
ট্রিভি: ইমেজ এবং কোডের জন্য অল-ইন-ওয়ান দুর্বলতা স্ক্যানার
Trivy হল Aquasecurity-এর ওপেন-সোর্স স্ক্যানার যা একটি আধুনিক স্ট্যাকের প্রায় সবকিছুই চেক করে: কন্টেইনার ইমেজ এবং ফাইলসিস্টেম, IaC টেমপ্লেট, গিট রেপো, Kubernetes ম্যানিফেস্ট, সিক্রেট এবং লাইসেন্স কমপ্লায়েন্স, CVE ডেটা ক্রমাগত আপডেট করা সহ। বাস্তবে এর ক্ষমতা হল স্ক্যানার হচ্ছে একটি CI পাইপলাইন আসলে গেট অন করতে পারে, প্রস্থান কোড যা ব্যর্থ হয়।
মূল বিষয়সমূহ
- পৃষ্ঠটি ইচ্ছাকৃতভাবে প্রশস্ত: OS প্যাকেজ CVE এবং অ্যাপ্লিকেশন নির্ভরতা (npm, pip, Go মডিউল, Java JARs), IaC ভুল কনফিগারেশন (Dockerfile/Terraform/K8s), এমবেডেড সিক্রেট (API কী, ব্যক্তিগত কী), এবং লাইসেন্স সম্মতি; একটি টুল একটি CLI আহ্বানে চারটি স্ক্যান বিভাগকে ভেঙে দেয়।
- সিআই গেটিং হল অপারেশনাল পেঅফ: --এক্সিট-কোড 1 -- তীব্রতা ক্রিটিকাল, হাই স্ক্যানিংকে বিল্ড গেটে পরিণত করে; মেয়াদ শেষ হওয়ার মন্তব্য সহ .trivyignore এর মাধ্যমে ফিল্টার করা CVE উপেক্ষা করা 90-দিনের পর্যালোচনার অভ্যাস সেট করে যা স্থায়ীভাবে বাইপাস করার পরিবর্তে গেটটিকে সৎ রাখে।
- স্ক্যানিং মোডগুলি এস্টেটকে কভার করে: ইমেজ স্ক্যান (রেজিস্ট্রি বা স্থানীয় ডেমন), সোর্স ট্রিগুলিতে ফাইল সিস্টেম স্ক্যান, গিট ইতিহাসে রেপো স্ক্যান, কুবারনেটস ক্লাস্টার স্ক্যান (k8s সাবকমান্ডের মাধ্যমে), এবং অডিটের জন্য SBOM জেনারেশন (সাইক্লোনডিএক্স/এসপিডিএক্স); সব জায়গায় একই CLI কনভেনশন মানে কম প্রশিক্ষণ ওভারহেড।
- তীব্রতা পরিচালনার প্রেক্ষাপট প্রয়োজন: DB CVE-তে প্রামাণিক কিন্তু আপনার এক্সপোজারের প্রতি অন্ধ (এটি কি পৌঁছানো যায়?), তাই ট্রাইজ ডিসিপ্লিন (অ্যাপটি কি আসলেই সেই লাইব্রেরি পথটি ব্যবহার করে? পরিষেবাটি কি ইন্টারনেট-মুখী?) প্রক্রিয়ার অন্তর্গত, টুলের মধ্যে নয়; কোন ট্রাইজ লুপ ছাড়া তীব্রতা-শুধু গেটগুলি উপেক্ষা করা স্ক্যানার তৈরি করে।
- অপারেশনাল ডিপ্লয়মেন্ট প্যাটার্ন: স্ক্যান-ইন-পাইপলাইন (গেট মার্জ), নির্ধারিত রেজিস্ট্রি সুইপস (বিল্ড করার পরে প্রকাশিত CVE গুলি ধরুন), এবং ক্লাস্টারগুলিতে ভর্তির সময় চেক (কুবারনেটস অ্যাডমিশন কন্ট্রোলাররা ট্রিভিকে আহ্বান করে); সংমিশ্রণটি CVE-প্রকাশিত-আফটার-ডিপ্লোয় উইন্ডোটি ক্যাচ করে যা একক-পাস স্ক্যানিং মিস করে।
- আমাদের নিরাপত্তা-সরঞ্জাম সেটের মধ্যে অবস্থান নির্ধারণ: ট্রিভি (ভালনারেবিলিটি/প্রিভেনশন) ফ্যালকো (রানটাইম/ডিটেকশন) এবং ওয়াজুহ (এন্ডপয়েন্ট/এসআইইএম লেয়ার) এর পরিপূরক; এটিই প্রথম স্ক্যানার যা আমরা যেকোনো আধুনিক প্রকল্পে মোতায়েন করি কারণ CLI সততা এবং CI এরগনোমিক্স প্রথম 80% এর জন্য ভারী বাণিজ্যিক টুলিংকে হারায়।
মাঠের নোট
সিভিই যা সিআই-গেট অভ্যাসকে প্রমাণ করেছে: একটি ছবি পরিষ্কার হওয়ার নয় দিন পরে প্রকাশিত একটি সমালোচনামূলক পরামর্শ৷ নির্ধারিত রেজিস্ট্রি পুনরায় স্ক্যান এটি ধরা, পুনর্নির্মাণ মিনিট সময় নেয়. এক্সিট কোড সহ একটি টুল এবং একটি রি-স্ক্যান রিদম দশটি টুলস যার ড্যাশবোর্ড কেউ খোলে না।
সচরাচর জিজ্ঞাসা
ট্রিভি বনাম ওপেনভাস (গ্রিনবোন): কেন আমরা উভয়ই চালাই?
ট্রিভি আর্টিফ্যাক্ট (ছবি, সোর্স কোড, নির্ভরতা, আইএসি) স্ক্যান করে এবং এটি সিআই-আকৃতির; OpenVAS প্রমাণীকৃত প্রোব সহ হোস্টগুলিতে লাইভ নেটওয়ার্ক পরিষেবাগুলি স্ক্যান করে; তারা বিভিন্ন প্রশ্নের উত্তর দেয় এবং প্রতিযোগিতার পরিবর্তে পরিপূরক হয়।
কত ঘন ঘন CVE ডাটাবেস আপডেট হয়?
ট্রিভির ডেটাবেসগুলি একাধিক আপস্ট্রিম উত্স থেকে ক্রমাগত সিঙ্ক হয় (NVD, GHSA, Red Hat, AWS, Debian, ইত্যাদি); আপডেটগুলি নির্ধারিত ক্যাশে রিফ্রেশের সাথে স্বয়ংক্রিয়, এবং অফলাইন মোড এয়ার-গ্যাপড এস্টেটের জন্য কাস্টম ডিবি টান প্রয়োগ করে।
.trivyignore প্যাটার্ন কি?
CVE আইডিগুলির একটি ফাইল (ঐচ্ছিকভাবে মেয়াদ শেষ হওয়ার মন্তব্য সহ) যা ট্রিভি এড়িয়ে যায়; ডিসিপ্লিনটি নীরবভাবে স্থায়ী না হয়ে স্বীকৃত ঝুঁকি হিসাবে সুস্পষ্টভাবে বিবেচিত, ন্যায্যতা এবং একটি ত্রৈমাসিক পর্যালোচনা সহ মেয়াদোত্তীর্ণ তারিখের এন্ট্রি।
বিল্ড টাইমে স্ক্যানিং কি পর্যাপ্তভাবে ঝুঁকিকে কভার করে?
এটা জুড়ে যা পাঠানো হয়েছে; CVE ক্রমাগত প্রকাশিত হয়, তাই চলমান চিত্রগুলির নির্ধারিত রি-স্ক্যান এবং ক্লাস্টারে ভর্তির সময় চেকের সাথে পাইপলাইন গেট যুক্ত করুন, যেহেতু বিল্ড ডে এবং ডিপ্লোয় সপ্তাহের মধ্যে ডেল্টা যেখানে মিস এক্সপোজার থাকে।
ওপেন সোর্স সিকিউরিটি টুলস নিয়ে Kinetikatech কীভাবে সাহায্য করে
এই কাজটা আমরা শত শত বার করেছি: টেস্টিং টুলবক্স পেশাদাররা আসলে লোড রাখে: স্ক্যানার, স্নিফার, ক্র্যাকার, এবং ওয়েব প্রক্সিগুলি কীভাবে বাস্তব ব্যস্ততায় ব্যবহার করা হয় তা ব্যাখ্যা করে — কমান্ড, পতাকা, আউটপুট এবং যেখানে প্রতিটি একটি পদ্ধতিতে বসে। পেনিট্রেশন টেস্টিং and Linux সার্ভার নিরাপত্তা-এর সঙ্গে আপনি পুরো চক্র পান — আমরা মূল্যায়ন করি, বাস্তবায়ন করি, দিনে-রাতে নজর রাখি, আর প্রয়োজন হলে ৩০ মিনিটের মধ্যে সাড়া দিই।