Ferramentas de segurança de código aberto
Trivy: O scanner de vulnerabilidade completo para imagens e código
Trivy é o scanner de código aberto da Aquasecurity que verifica quase tudo em uma pilha moderna: imagens de contêiner e sistemas de arquivos, modelos IaC, repositórios git, manifestos Kubernetes, segredos e conformidade de licença, com dados CVE atualizados continuamente. Seu poder, na prática, é ser o scanner que um pipeline de CI pode realmente ativar, com códigos de saída que falham na construção.
Pontos principais
- A superfície é deliberadamente ampla: CVEs de pacotes de sistema operacional e dependências de aplicativos (npm, pip, módulos Go, Java JARs), configurações incorretas de IaC (Dockerfile/Terraform/K8s), segredos incorporados (chaves de API, chaves privadas) e conformidade de licença; uma ferramenta reúne quatro categorias de varredura em uma invocação CLI.
- CI gating é a recompensa operacional: --exit-code 1 --severity CRITICAL,HIGH transforma a digitalização em um portão de construção; ignorar CVEs filtrados via .trivyignore com comentários de expiração define o hábito de revisão de 90 dias que mantém o portão honesto em vez de ser permanentemente ignorado.
- Os modos de verificação cobrem o patrimônio: verificação de imagem (registro ou daemon local), verificação de sistema de arquivos em árvores de origem, verificação de repositório no histórico git, verificação de cluster Kubernetes (via subcomando k8s) e geração SBOM (CycloneDX/SPDX) para auditorias; as mesmas convenções CLI em todos os lugares significam baixa sobrecarga de treinamento.
- O tratamento da gravidade precisa de contexto: o banco de dados tem autoridade sobre CVEs, mas é cego para sua exposição (é acessível?), portanto, a disciplina de triagem (o aplicativo realmente usa esse caminho de biblioteca? O serviço está voltado para a Internet?) pertence ao processo, não à ferramenta; portões somente de gravidade sem loop de triagem produzem scanners ignorados.
- Padrões de implantação operacional: scan-in-pipeline (gate merges), varreduras de registro agendadas (captura CVEs publicadas após a construção) e verificações de tempo de admissão em clusters (controladores de admissão Kubernetes invocando Trivy); a combinação captura a janela CVE publicada após a implantação que a verificação de passagem única perde.
- Posicionamento dentro de nosso conjunto de ferramentas de segurança: Trivy (vulnerabilidade/prevenção) complementa Falco (tempo de execução/detecção) e Wazuh (endpoint/camadas SIEM); é o primeiro scanner que implantamos em qualquer projeto moderno porque a honestidade da CLI e a ergonomia do CI superam as ferramentas comerciais mais pesadas nos primeiros 80%.
Nota de campo
O CVE que comprovou o hábito do CI-gate: um comunicado crítico publicado nove dias após uma imagem construída de forma limpa. A nova verificação agendada do registro detectou o problema, a reconstrução levou alguns minutos. Uma ferramenta com códigos de saída e ritmo de nova varredura vale dez ferramentas com painéis que ninguém abre.
Perguntas frequentes
Trivy vs OpenVAS (Greenbone): por que executamos os dois?
Trivy verifica artefatos (imagens, código-fonte, dependências, IaC) e tem formato de CI; OpenVAS verifica serviços de rede ativos em hosts com sondas autenticadas; eles respondem a perguntas diferentes e complementam em vez de competir.
Com que frequência o banco de dados CVE é atualizado?
Os bancos de dados do Trivy sincronizam continuamente a partir de múltiplas fontes upstream (NVD, GHSA, Red Hat, AWS, Debian, etc.); as atualizações são automáticas com atualização de cache agendada e o modo offline aplica pulls de banco de dados personalizados para propriedades sem ar.
Qual é o padrão .trivyignore?
Um arquivo de IDs CVE (opcionalmente com comentários de expiração) que Trivy ignora; a disciplina consiste em entradas com prazo de validade justificadas e uma revisão trimestral, tratadas explicitamente como risco aceito, em vez de silenciosamente permanentes.
A varredura em tempo de construção cobre o risco adequadamente?
Cobre o que foi enviado; Os CVEs são publicados continuamente, portanto, combine o portão do pipeline com novas varreduras programadas de imagens em execução e verificações de tempo de admissão em clusters, já que o delta entre o dia de construção e a semana de implantação é onde reside a exposição perdida.
Como a Kinetikatech ajuda com ferramentas de segurança de código aberto
Já resolvemos isto centenas de vezes: Os profissionais da caixa de ferramentas de teste realmente se mantêm carregados: scanners, sniffers, crackers e proxies da web explicaram como são usados em compromissos reais - comandos, sinalizadores, saídas e onde cada um se enquadra em uma metodologia. Com Testes de penetração e Segurança de servidores Linux, você tem o ciclo completo: avaliamos, implementamos, monitoramos 24 horas e respondemos em 30 minutos quando importa.