Säkerhetsverktyg med öppen källkod
Trivy: Allt-i-ett sårbarhetsskanner för bilder och kod
Trivy är Aquasecuritys öppen källkodsskanner som kontrollerar nästan allt i en modern stack: containerbilder och filsystem, IaC-mallar, git-repos, Kubernetes-manifest, hemligheter och licensefterlevnad, med CVE-data som uppdateras kontinuerligt. Dess kraft i praktiken är att vara skannern som en CI-pipeline faktiskt kan koppla in, med utgångskoder som misslyckas med att bygga.
Nyckelpunkter
- Ytan är medvetet bred: OS-paketets CVE:er och applikationsberoenden (npm, pip, Go-moduler, Java JARs), IaC-felkonfigurationer (Dockerfile/Terraform/K8s), inbäddade hemligheter (API-nycklar, privata nycklar) och licensefterlevnad; ett verktyg kollapsar fyra skanningskategorier till en CLI-anrop.
- CI-grindning är den operativa utdelningen: --exit-kod 1 --allvarlighet CRITICAL,HIGH förvandlar skanning till en bygggrind; ignorera filtrerade CVE:er via .trivyignore med utgångskommentarer sätter en 90-dagars granskningsvana som håller porten ärlig snarare än permanent kringgås.
- Skanningslägen täcker gården: bildskanning (register eller lokal demon), filsystemssökning på källträd, repo-skanning på git-historik, Kubernetes klusterskanning (via k8s underkommando) och SBOM-generering (CycloneDX/SPDX) för granskningar; samma CLI-konventioner överallt innebär låg träningsoverhead.
- Allvarlighetshantering behöver sammanhang: DB är auktoritativ på CVEs men blind för din exponering (är den nåbar?), så triagedisciplin (använder appen faktiskt den biblioteksvägen? är tjänsten vänd mot internet?) hör hemma i processen, inte i verktyget; grindar med enbart allvarlighetsgrad utan triage-loop producerar ignorerade skannrar.
- Operativa distributionsmönster: scan-in-pipeline (gate sammanslagningar), schemalagda registersveep (fångst CVE publicerade efter build) och tillträdestidskontroller av kluster (Kubernetes-tillträdeskontrollanter som anropar Trivy); kombinationen fångar det CVE-publicerade-efter-distribution-fönstret som enpassage-skanning missar.
- Positionering inom vår uppsättning säkerhetsverktyg: Trivy (sårbarhet/förebyggande) kompletterar Falco (runtime/detektion) och Wazuh (endpoint/SIEM-lager); det är den första skannern vi använder i ett modernt projekt eftersom CLI-ärligheten och CI-ergonomin slår tyngre kommersiella verktyg för de första 80 %.
Fältnotis
CVE som bevisade CI-gate-vanan: en kritisk rådgivning publicerad nio dagar efter att en bild byggd ren. Den schemalagda omsökningen av registret fångade det, ombyggnaden tog några minuter. Ett verktyg med utgångskoder och en re-scan rytm är värt tio verktyg med instrumentpaneler som ingen öppnar.
Vanliga frågor
Trivy vs OpenVAS (Greenbone): varför kör vi båda?
Trivy skannar artefakter (bilder, källkod, beroenden, IaC) och är CI-formad; OpenVAS skannar livenätverkstjänster på värdar med autentiserade prober; de svarar på olika frågor och kompletterar snarare än konkurrerar.
Hur ofta uppdateras CVE-databasen?
Trivys databaser synkroniseras kontinuerligt från flera uppströmskällor (NVD, GHSA, Red Hat, AWS, Debian, etc.); uppdateringar är automatiska med schemalagd cacheuppdatering, och offlineläge tillämpar anpassade DB-drag för luftglappade fastigheter.
Vad är .trivyignore-mönstret?
En fil med CVE-ID:n (valfritt med utgångskommentarer) som Trivy hoppar över; disciplinen är utgångsdatum med motivering och en kvartalsvis granskning, behandlas uttryckligen som accepterad risk snarare än som tyst permanent.
Täcker skanning vid byggtid risken tillräckligt?
Det täcker det som skickas; CVE:er publiceras kontinuerligt, så koppla ihop pipeline-porten med schemalagda omsökningar av löpande bilder och kontroller av tillträdestid i kluster, eftersom deltat mellan byggdag och distributionsvecka är där den missade exponeringen lever.
Så hjälper Kinetikatech dig med säkerhetsverktyg med öppen källkod
Du ska inte behöva bli expert på säkerhetsverktyg med öppen källkod: Proffsen i testverktygslådan håller faktiskt laddad: skannrar, sniffers, crackers och webbproxyer förklarade hur de används på verkliga engagemang - kommandon, flaggor, utdata och var var och en sitter i en metodik. Det är precis vad Penetrationstester och Linux-serversäkerhet finns till för, installation, härdning, övervakning och en människa på jour dygnet runt.