Strumenti di sicurezza open source
Trivy: lo scanner di vulnerabilità tutto in uno per immagini e codice
Trivy è lo scanner open source di Aquasecurity che controlla quasi tutto in uno stack moderno: immagini di contenitori e file system, modelli IaC, repository git, manifest Kubernetes, segreti e conformità delle licenze, con dati CVE aggiornati continuamente. Il suo potere in pratica è quello di essere lo scanner su cui una pipeline CI può effettivamente accedere, con codici di uscita che falliscono le build.
Punti chiave
- La superficie è volutamente ampia: CVE dei pacchetti del sistema operativo e dipendenze delle applicazioni (npm, pip, moduli Go, JAR Java), configurazioni errate IaC (Dockerfile/Terraform/K8), segreti incorporati (chiavi API, chiavi private) e conformità della licenza; uno strumento comprime quattro categorie di scansione in un'unica chiamata CLI.
- Il gate CI è il profitto operativo: --exit-code 1 --severity CRITICAL,HIGH trasforma la scansione in un build gate; ignorare i CVE filtrati tramite .trivyignore con commenti di scadenza imposta l'abitudine di revisione di 90 giorni che mantiene il cancello onesto anziché bypassato in modo permanente.
- Le modalità di scansione coprono l'insieme: scansione delle immagini (registro o demone locale), scansione del file system sugli alberi di origine, scansione dei repository sulla cronologia git, scansione del cluster Kubernetes (tramite il sottocomando k8s) e generazione SBOM (CycloneDX/SPDX) per gli audit; le stesse convenzioni CLI ovunque significano costi di formazione ridotti.
- La gestione della gravità richiede contesto: il DB è autorevole sui CVE ma cieco rispetto alla tua esposizione (è raggiungibile?), quindi la disciplina del triage (l'app utilizza effettivamente quel percorso della libreria? Il servizio è rivolto a Internet?) appartiene al processo, non allo strumento; I gate di sola gravità senza ciclo di triage producono scanner ignorati.
- Modelli di distribuzione operativa: scansione in pipeline (unione di gate), scansione del registro pianificata (catch CVE pubblicati dopo la compilazione) e controlli del tempo di ammissione sui cluster (controller di ammissione Kubernetes che invocano Trivy); la combinazione rileva la finestra CVE pubblicata dopo la distribuzione non rilevata dalla scansione a passaggio singolo.
- Posizionamento all'interno del nostro set di strumenti di sicurezza: Trivy (vulnerabilità/prevenzione) integra Falco (runtime/rilevamento) e Wazuh (endpoint/livelli SIEM); è il primo scanner che implementiamo su qualsiasi progetto moderno perché l'onestà della CLI e l'ergonomia della CI superano gli strumenti commerciali più pesanti per il primo 80%.
Nota dal campo
Il CVE che ha dimostrato l'abitudine al CI-gate: un avviso critico pubblicato nove giorni dopo un'immagine creata in modo pulito. La nuova scansione pianificata del registro lo ha rilevato, la ricostruzione ha richiesto pochi minuti. Uno strumento con codici di uscita e ritmo di scansione vale dieci strumenti con dashboard che nessuno apre.
Domande frequenti
Trivy vs OpenVAS (Greenbone): perché eseguiamo entrambi?
Trivy scansiona gli artefatti (immagini, codice sorgente, dipendenze, IaC) ed è a forma di CI; OpenVAS esegue la scansione dei servizi di rete live su host con sonde autenticate; rispondono a domande diverse e si integrano piuttosto che competere.
Con quale frequenza viene aggiornato il database CVE?
I database di Trivy si sincronizzano continuamente da più fonti upstream (NVD, GHSA, Red Hat, AWS, Debian, ecc.); gli aggiornamenti sono automatici con aggiornamento della cache pianificato e la modalità offline applica pull DB personalizzati per le proprietà air gap.
Qual è il pattern .trivyignore?
Un file di ID CVE (facoltativamente con commenti di scadenza) che Trivy salta; la disciplina prevede registrazioni con data di scadenza con giustificazione e revisione trimestrale, trattate esplicitamente come rischio accettato piuttosto che silenziosamente permanente.
La scansione in fase di creazione copre adeguatamente il rischio?
Copre quanto spedito; I CVE vengono pubblicati continuamente, quindi abbina il gate della pipeline a nuove scansioni pianificate delle immagini in esecuzione e controlli del tempo di ammissione nei cluster, poiché il delta tra il giorno di creazione e la settimana di distribuzione è dove si trova l'esposizione mancata.
Come Kinetikatech aiuta con strumenti di sicurezza open source
Non dovrebbe dover diventare esperto di strumenti di sicurezza open source: I professionisti degli strumenti di test continuano a caricarli: scanner, sniffer, cracker e proxy web hanno spiegato il modo in cui vengono utilizzati negli impegni reali: comandi, flag, output e dove ciascuno di essi si trova in una metodologia. È esattamente a questo che serve Penetration test e Sicurezza server Linux: configurazione, blindatura, monitoraggio e un ingegnere reperibile giorno e notte.