Narzędzia bezpieczeństwa typu open source
Trivy: wszechstronny skaner podatności na obrazy i kod
Trivy to skaner typu open source firmy Aquasecurity, który sprawdza prawie wszystko w nowoczesnym stosie: obrazy kontenerów i systemy plików, szablony IaC, repozytoria git, manifesty Kubernetes, sekrety i zgodność z licencjami, przy czym dane CVE są stale aktualizowane. Jego moc w praktyce polega na tym, że jest skanerem, do którego może faktycznie dotrzeć potok CI, z kodami wyjścia, które nie pozwalają na kompilację.
Kluczowe punkty
- Powierzchnia jest celowo szeroka: CVE pakietów systemu operacyjnego i zależności aplikacji (npm, pip, moduły Go, Java JAR), błędne konfiguracje IaC (Dockerfile/Terraform/K8s), wbudowane klucze tajne (klucze API, klucze prywatne) i zgodność z licencją; jedno narzędzie łączy cztery kategorie skanowania w jedno wywołanie CLI.
- Bramkowanie CI to korzyść operacyjna: --kod-wyjścia 1 --ważność KRYTYCZNA,WYSOKA zamienia skanowanie w bramkę kompilacji; ignorowanie odfiltrowanych CVE za pośrednictwem .trivyignore z komentarzami dotyczącymi wygaśnięcia ustanawia nawyk przeglądu 90-dniowego, dzięki któremu brama jest uczciwa, a nie trwale omijana.
- Tryby skanowania obejmują całą posiadłość: skanowanie obrazu (rejestr lub demon lokalny), skanowanie systemu plików w drzewach źródłowych, skanowanie repo historii git, skanowanie klastra Kubernetes (za pomocą podkomendy k8s) i generowanie SBOM (CycloneDX/SPDX) na potrzeby audytów; wszędzie te same konwencje CLI oznaczają niskie koszty szkolenia.
- Kontekst potrzeb obsługi istotności: baza danych jest autorytatywna w odniesieniu do CVE, ale jest ślepa na Twoje narażenie (czy jest osiągalna?), zatem dyscyplina selekcji (czy aplikacja faktycznie korzysta z tej ścieżki bibliotecznej? czy usługa jest dostępna przez Internet?) należy do procesu, a nie do narzędzia; Bramy tylko do ważności bez pętli segregacyjnej generują ignorowane skanery.
- Wzorce wdrażania operacyjnego: skanowanie w potoku (łączenie bramek), zaplanowane przeglądanie rejestru (przechwytywanie CVE publikowane po kompilacji) i sprawdzanie czasu dostępu w klastrach (kontrolery dostępu Kubernetes wywołujące Trivy); kombinacja przechwytuje okno opublikowane po wdrożeniu CVE, które pomija skanowanie jednoprzebiegowe.
- Pozycjonowanie w naszym zestawie narzędzi bezpieczeństwa: Trivy (luki w zabezpieczeniach/zapobieganie) uzupełnia Falco (środowisko wykonawcze/wykrywanie) i Wazuh (warstwy punktów końcowych/SIEM); jest to pierwszy skaner, który wdrażamy w dowolnym nowoczesnym projekcie, ponieważ uczciwość CLI i ergonomia CI pokonują cięższe narzędzia komercyjne w pierwszych 80%.
Notatka z praktyki
CVE, które udowodniło nawyk stosowania bramek CI: krytyczny poradnik opublikowany dziewięć dni po czystym zbudowaniu obrazu. Wykryło to zaplanowane ponowne skanowanie rejestru, odbudowa trwała kilka minut. Narzędzie z kodami wyjścia i rytmem ponownego skanowania jest warte dziesięć narzędzi z pulpitami nawigacyjnymi, których nikt nie otwiera.
Częste pytania
Trivy vs OpenVAS (Greenbone): dlaczego uruchamiamy oba?
Trivy skanuje artefakty (obrazy, kod źródłowy, zależności, IaC) i ma kształt CI; OpenVAS skanuje działające usługi sieciowe na hostach za pomocą uwierzytelnionych sond; odpowiadają na różne pytania i raczej się uzupełniają niż konkurują.
Jak często aktualizuje się baza danych CVE?
Bazy danych Trivy synchronizują się w sposób ciągły z wielu źródeł zewnętrznych (NVD, GHSA, Red Hat, AWS, Debian itp.); aktualizacje są automatyczne z zaplanowanym odświeżaniem pamięci podręcznej, a tryb offline stosuje niestandardowe ściąganie bazy danych dla osiedli z przerwami powietrznymi.
Co to jest wzorzec .trivyignore?
Plik identyfikatorów CVE (opcjonalnie z komentarzami do wygaśnięcia), który Trivy pomija; dyscypliną są wpisy z datą wygaśnięcia z uzasadnieniem i kwartalnym przeglądem, traktowane wyraźnie jako akceptowane ryzyko, a nie milcząco trwałe.
Czy skanowanie w czasie kompilacji odpowiednio uwzględnia ryzyko?
Obejmuje to, co zostało wysłane; Dane CVE są publikowane w sposób ciągły, dlatego należy połączyć bramę potokową z zaplanowanymi ponownym skanowaniem uruchomionych obrazów i kontrolami czasu przyjęcia w klastrach, ponieważ różnica między dniem kompilacji a tygodniem wdrożenia to miejsce, w którym występuje brakująca ekspozycja.
Jak Kinetikatech pomaga w narzędzia bezpieczeństwa typu open source
Szczerze mówiąc, większość zespołów trafia do nas po samodzielnych próbach: Specjaliści zajmujący się zestawem narzędzi testowych faktycznie są naładowani: skanery, sniffery, crackery i serwery proxy WWW wyjaśniły, w jaki sposób są używane w rzeczywistych zadaniach — polecenia, flagi, dane wyjściowe i miejsce każdego z nich w metodologii. Nasza usługa Testy penetracyjne i Bezpieczeństwo serwerów Linux istnieje po to, aby nie musieli Państwo poznawać narzędzia bezpieczeństwa typu open source na własnych błędach — zajmujemy się konfiguracją, monitoringiem i niespodziankami o 3 w nocy.