Инструменты безопасности с открытым исходным кодом
Trivy: универсальный сканер уязвимостей для изображений и кода
Trivy — это сканер с открытым исходным кодом от Aquasecurity, который проверяет практически все в современном стеке: образы контейнеров и файловые системы, шаблоны IaC, репозитории git, манифесты Kubernetes, секреты и соответствие лицензии, при этом данные CVE постоянно обновляются. На практике его сила заключается в том, что он является сканером, который конвейер CI может фактически использовать с кодами завершения, которые не позволяют построить сборку.
Главное
- Поверхность намеренно широка: CVE пакетов ОС и зависимости приложений (npm, pip, модули Go, Java JAR), неправильные конфигурации IaC (Dockerfile/Terraform/K8s), встроенные секреты (ключи API, закрытые ключи) и соответствие лицензии; один инструмент объединяет четыре категории сканирования в один вызов CLI.
- Блокирование CI — это операционная выгода: --exit-code 1 --severity CRITICAL,HIGH превращает сканирование в шлюз сборки; игнорирование отфильтрованных CVE через .trivyignore с комментариями об истечении срока действия устанавливает привычку 90-дневной проверки, благодаря которой ворота остаются честными, а не постоянно игнорируются.
- Режимы сканирования охватывают все имущество: сканирование образа (реестра или локального демона), сканирование файловой системы в исходных деревьях, сканирование репозитория в истории git, сканирование кластера Kubernetes (с помощью подкоманды k8s) и создание SBOM (CycloneDX/SPDX) для аудита; везде одни и те же соглашения CLI означают низкие затраты на обучение.
- Обработка серьезности требует контекста: БД является авторитетной в отношении CVE, но не учитывает ваше воздействие (достижима ли она?), поэтому дисциплина сортировки (действительно ли приложение использует этот путь к библиотеке? Является ли служба доступной в Интернет?) принадлежит процессу, а не инструменту; Ворота только для серьезности без цикла сортировки создают игнорируемые сканеры.
- Шаблоны оперативного развертывания: сканирование в конвейере (слияние шлюзов), запланированная очистка реестра (перехват CVE, опубликованных после сборки) и проверки времени доступа в кластерах (контроллеры доступа Kubernetes, вызывающие Trivy); эта комбинация улавливает окно публикации CVE после развертывания, которое пропускает однопроходное сканирование.
- Позиционирование в нашем наборе инструментов безопасности: Trivy (уязвимости/предотвращение) дополняет Falco (время выполнения/обнаружение) и Wazuh (уровни конечных точек/SIEM); это первый сканер, который мы используем в любом современном проекте, потому что честность CLI и эргономика CI превосходят более тяжелые коммерческие инструменты на первые 80%.
Заметка из практики
CVE, доказавшая привычку CI-gate: критическая рекомендация, опубликованная через девять дней после того, как образ был создан полностью. Запланированное повторное сканирование реестра выявило это, восстановление заняло несколько минут. Инструмент с кодами выхода и ритмом повторного сканирования стоит десяти инструментов, панели мониторинга которых никто не открывает.
Частые вопросы
Trivy против OpenVAS (Greenbone): почему мы используем оба?
Trivy сканирует артефакты (изображения, исходный код, зависимости, IaC) и является CI-образным; OpenVAS сканирует действующие сетевые сервисы на хостах с помощью аутентифицированных зондов; они отвечают на разные вопросы и скорее дополняют, чем конкурируют.
Как часто обновляется база данных CVE?
Базы данных Trivy постоянно синхронизируются из нескольких вышестоящих источников (NVD, GHSA, Red Hat, AWS, Debian и т. д.); обновления выполняются автоматически с запланированным обновлением кэша, а в автономном режиме применяются пользовательские выборки БД для изолированных поместий.
Что такое шаблон .trivyignore?
Файл идентификаторов CVE (необязательно с комментариями об истечении срока действия), который Trivy пропускает; дисциплина - это записи с истекшим сроком действия с обоснованием и ежеквартальной проверкой, которые рассматриваются явно как принятый риск, а не молчаливо постоянный.
Достаточно ли сканирование во время сборки покрывает риск?
Он охватывает то, что было отправлено; CVE публикуются постоянно, поэтому сочетайте шлюз конвейера с запланированным повторным сканированием запущенных образов и проверками времени доступа в кластерах, поскольку разница между днем сборки и неделей развертывания — это то место, где находится пропущенное воздействие.
Как мы берём на себя инструменты безопасности с открытым исходным кодом
Мы разбирались с этим сотни раз: Профессионалы по инструментам тестирования на самом деле продолжают работать: сканеры, снифферы, взломщики и веб-прокси объясняют, как они используются в реальных заданиях — команды, флаги, выходные данные и место каждого из них в методологии. С услугой Тесты на проникновение и Безопасность серверов Linux вы получаете полный цикл: мы оцениваем, внедряем, следим круглосуточно и подключаемся в течение 30 минут, когда это действительно нужно.