Nástroje zabezpečení s otevřeným zdrojovým kódem
Trivy: All-in-One skener zranitelnosti pro obrázky a kód
Trivy je open-source skener Aquasecurity, který kontroluje téměř vše v moderním zásobníku: obrázky kontejnerů a souborové systémy, šablony IaC, úložiště git, manifesty Kubernetes, tajemství a soulad s licencí, přičemž data CVE se neustále aktualizují. Jeho síla v praxi spočívá v tom, že je skenerem, na který může CI potrubí ve skutečnosti brány, s výstupními kódy, které selžou sestavení.
Klíčové body
- Povrch je záměrně široký: CVE balíků OS a závislosti aplikací (npm, pip, moduly Go, Java JAR), chybné konfigurace IaC (Dockerfile/Terraform/K8s), vestavěná tajemství (klíče API, soukromé klíče) a soulad s licencí; jeden nástroj sbalí čtyři kategorie skenování do jednoho vyvolání CLI.
- CI gating je provozní přínos: --exit-code 1 --závažnost KRITICKÉ, VYSOKÉ změní skenování na sestavení brány; ignorování filtrovaných CVE přes .trivyignore s komentáři o vypršení platnosti nastavuje zvyk 90denní kontroly, který udržuje bránu poctivou spíše než trvale obchází.
- Režimy skenování pokrývají vše: skenování obrázků (registr nebo místní démon), skenování souborového systému na zdrojových stromech, skenování repo na historii git, skenování clusteru Kubernetes (prostřednictvím dílčího příkazu k8s) a generování SBOM (CycloneDX/SPDX) pro audity; stejné konvence CLI všude znamenají nízkou režii na školení.
- Zpracování závažnosti vyžaduje kontext: DB je autoritativní pro CVE, ale slepá k vašemu vystavení (je dosažitelná?), takže disciplína třídění (aplikace skutečně používá cestu knihovny? je služba orientována na internet?) patří do procesu, nikoli do nástroje; brány pouze se závažností bez třídicí smyčky vytvářejí ignorované skenery.
- Vzorce provozního nasazení: scan-in-pipeline (sloučení brány), plánovaná prohledávání registru (zachycení CVE publikovaných po sestavení) a kontroly doby přijetí na clusterech (řadiče přístupu Kubernetes vyvolávající Trivy); kombinace zachytí CVE-publikované okno po nasazení, které jednoprůchodové skenování vynechá.
- Umístění v rámci naší sady bezpečnostních nástrojů: Trivy (zranitelnost/prevence) doplňuje Falco (runtime/detekce) a Wazuh (vrstvy koncového bodu/SIEM); je to první skener, který nasazujeme na jakýkoli moderní projekt, protože poctivost CLI a ergonomie CI překonávají těžší komerční nástroje o prvních 80 %.
Poznámka z terénu
CVE, které prokázalo zvyk CI-gate: kritické doporučení zveřejněné devět dní po vytvoření čistého obrazu. Naplánované opětovné skenování registru to zachytilo, přestavba trvala minuty. Nástroj s výstupními kódy a rytmem opětovného skenování stojí za deset nástrojů s řídicími panely, které nikdo neotevře.
Časté dotazy
Trivy vs OpenVAS (Greenbone): proč provozujeme obojí?
Trivy skenuje artefakty (obrázky, zdrojový kód, závislosti, IaC) a má tvar CI; OpenVAS skenuje živé síťové služby na hostitelích pomocí ověřených sond; odpovídají na různé otázky a spíše se doplňují než soutěží.
Jak často se aktualizuje databáze CVE?
Databáze Trivy se nepřetržitě synchronizují z několika upstream zdrojů (NVD, GHSA, Red Hat, AWS, Debian atd.); aktualizace jsou automatické s plánovanou obnovou mezipaměti a offline režim používá vlastní databázové stahování pro nemovitosti se vzduchovou mezerou.
Co je vzor .trivyignore?
Soubor CVE ID (volitelně s komentáři k vypršení platnosti), který Trivy přeskočí; disciplínou jsou záznamy s datem vypršení platnosti s odůvodněním a čtvrtletní revizí, které jsou považovány výslovně za akceptované riziko spíše než tiše trvalé.
Pokrývá skenování v době sestavení dostatečně riziko?
Zahrnuje to, co bylo odesláno; CVE jsou zveřejňovány průběžně, takže spárujte bránu potrubí s plánovaným opakovaným skenováním běžících obrazů a kontrolami doby příjmu v clusterech, protože rozdíl mezi dnem sestavení a týdnem nasazení je místo, kde žije zmeškaná expozice.
Jak Kinetikatech pomáhá s nástroje zabezpečení s otevřeným zdrojovým kódem
Dnes děláme tohle: Profesionálové z testovací sady nástrojů mají skutečně nabité: skenery, sniffery, crackery a webové proxy vysvětlily způsob, jakým se používají při skutečných zakázkách – příkazy, příznaky, výstupy a kde každý sedí v metodice. Naše služba Penetrační testy a Zabezpečení linuxových serverů pokrývá vše od posouzení po nasazení, nepřetržitý dohled a pohotovostní zásah do 30 minut.