오픈 소스 보안 도구
Trivy: 이미지 및 코드를 위한 올인원 취약점 스캐너
Trivy는 CVE 데이터가 지속적으로 업데이트되어 컨테이너 이미지 및 파일 시스템, IaC 템플릿, git 저장소, Kubernetes 매니페스트, 비밀 및 라이선스 준수 등 최신 스택의 거의 모든 것을 검사하는 Aquasecurity의 오픈 소스 스캐너입니다. 실제로 그 힘은 빌드에 실패한 종료 코드를 사용하여 CI 파이프라인이 실제로 게이트할 수 있는 스캐너라는 것입니다.
핵심 내용
- 표면은 의도적으로 넓습니다. OS 패키지 CVE 및 애플리케이션 종속성(npm, pip, Go 모듈, Java JAR), IaC 잘못된 구성(Dockerfile/Terraform/K8s), 내장된 비밀(API 키, 개인 키) 및 라이선스 준수. 하나의 도구는 4개의 스캔 범주를 하나의 CLI 호출로 축소합니다.
- CI 게이팅은 운영상의 이점입니다. --exit-code 1 --severity CRITICAL,HIGH는 스캔을 빌드 게이트로 전환합니다. 만료 설명이 포함된 .trivyignore를 통해 필터링된 CVE를 무시하면 게이트를 영구적으로 우회하지 않고 정직하게 유지하는 90일 검토 습관이 설정됩니다.
- 스캔 모드는 이미지 스캔(레지스트리 또는 로컬 데몬), 소스 트리의 파일 시스템 스캔, git 기록의 저장소 스캔, Kubernetes 클러스터 스캔(k8s 하위 명령을 통해) 및 감사를 위한 SBOM 생성(CycloneDX/SPDX)을 포함합니다. 어디에서나 동일한 CLI 규칙은 낮은 교육 오버헤드를 의미합니다.
- 심각도 처리에는 컨텍스트가 필요합니다. DB는 CVE에 대해 권한이 있지만 노출 여부는 알 수 없으므로(접근 가능합니까?) 분류 규율(앱이 실제로 해당 라이브러리 경로를 사용합니까? 서비스가 인터넷에 연결되어 있습니까?)은 도구가 아닌 프로세스에 속합니다. 분류 루프가 없는 심각도 전용 게이트는 무시된 스캐너를 생성합니다.
- 운영 배포 패턴: 파이프라인 스캔(게이트 병합), 예약된 레지스트리 스윕(빌드 후 게시된 CVE 포착), 클러스터에 대한 승인 시간 확인(Trivy를 호출하는 Kubernetes 승인 컨트롤러) 이 조합은 단일 패스 검사에서 놓친 CVE 배포 후 게시 창을 포착합니다.
- 보안 도구 세트 내 포지셔닝: Trivy(취약성/예방)는 Falco(런타임/탐지) 및 Wazuh(엔드포인트/SIEM 레이어)를 보완합니다. CLI 정직성과 CI 인체공학이 처음 80% 동안 더 무거운 상업용 도구를 능가하기 때문에 현대 프로젝트에 배포하는 첫 번째 스캐너입니다.
현장 노트
CI-gate 습관을 입증한 CVE: 이미지가 깨끗하게 구축된 지 9일 후에 게시된 중요한 권고입니다. 예약된 레지스트리 재검색으로 이를 발견했으며 재구축에는 몇 분이 걸렸습니다. 종료 코드와 재스캔 리듬이 있는 도구는 아무도 열지 않는 대시보드가 있는 10개의 도구만큼 가치가 있습니다.
자주 묻는 질문
Trivy 대 OpenVAS(Greenbone): 왜 둘 다 실행합니까?
Trivy는 아티팩트(이미지, 소스 코드, 종속성, IaC)를 스캔하며 CI 형태입니다. OpenVAS는 인증된 프로브를 사용하여 호스트에서 라이브 네트워크 서비스를 검색합니다. 그들은 경쟁하기보다는 서로 다른 질문에 대답하고 보완합니다.
CVE 데이터베이스는 얼마나 자주 업데이트되나요?
Trivy의 데이터베이스는 여러 업스트림 소스(NVD, GHSA, Red Hat, AWS, Debian 등)에서 지속적으로 동기화됩니다. 예약된 캐시 새로 고침을 통해 업데이트가 자동으로 이루어지며, 오프라인 모드에서는 에어 갭 영역에 대한 사용자 지정 DB 가져오기가 적용됩니다.
.trivyignore 패턴이란 무엇입니까?
Trivy가 건너뛰는 CVE ID 파일(선택적으로 만료 설명 포함) 규율은 정당성과 분기별 검토가 포함된 만료 날짜 항목이며, 자동으로 영구적이 아닌 허용된 위험으로 명시적으로 처리됩니다.
빌드 시 스캔이 위험을 적절하게 처리합니까?
여기에는 배송된 내용이 포함됩니다. CVE는 지속적으로 게시되므로 빌드일과 배포 주 사이의 델타가 누락된 노출이 있는 곳이기 때문에 실행 중인 이미지의 예정된 재스캔 및 클러스터의 승인 시간 확인과 파이프라인 게이트를 연결합니다.
오픈 소스 보안 도구에 대한 Kinetikatech의 지원
저희가 매일 하는 일: 테스트 도구 상자 전문가들은 실제로 계속 로드됩니다. 스캐너, 스니퍼, 크래커 및 웹 프록시는 실제 참여에서 사용되는 방식(명령, 플래그, 출력 및 방법론에서 각각의 위치)을 설명했습니다. 당사의 모의해킹 및 Linux 서버 보안 서비스는 평가, 구현, 24시간 연중무휴 모니터링, 30분 이내 긴급 대응을 엔드투엔드로 제공합니다.