Trivy als CI-Gate: scannen, bei Schweregrad abbrechen, Rest als Ticket

Trivy, der von Aqua Security gepflegte Open-Source-Scanner, ist zur Standardwahl geworden, um bekannte Schwachstellen, Fehlkonfigurationen, exponierte Secrets und fehlende SBOMs zu erkennen, bevor ein Container-Image oder eine Infrastructure-as-Code-Änderung die Produktion erreicht. Für Managed Service Provider, die viele Kunden-Pipelines betreiben, liegt der Wert weniger im Werkzeug selbst als darin, wie konsequent es den Build absichert.

Das Muster: scannen, abbrechen, Ticket erstellen

Die belastbare Variante dieses Workflows ist einfach zu beschreiben und unter Termindruck leicht zu überspringen: bei jedem Pipeline-Lauf scannen, den Job abbrechen, wenn Funde einen vereinbarten Schweregrad überschreiten – typischerweise hoch oder kritisch –, und ein Ticket mit der CVE-Zusammenfassung, dem Image-Digest und einem Verantwortlichen anlegen oder aktualisieren. Die Freigabe für die Produktion bleibt blockiert, bis der Fund behoben oder von einer Person mit der entsprechenden Befugnis formell als Risiko akzeptiert wurde.

Das Gate operationalisieren

• Eine bestimmte Trivy-Version in der CI festlegen, statt immer die neueste zu ziehen, damit ein Datenbank-Update die Build-Ergebnisse nicht stillschweigend verändern kann.
• Das gebaute Image oder die Lockdatei scannen, nicht nur den Quellcode-Baum, damit transitive Abhängigkeiten abgedeckt sind.
• Beim vereinbarten Schweregrad mit einem Nicht-Null-Status beenden und den Pipeline-Job fehlschlagen lassen.
• Ergebnisse an den bereits genutzten Issue-Tracker übergeben, versehen mit Image-Digest und Verantwortlichem.
• Für jede risikoakzeptierte Ausnahme eine explizite, protokollierte Bestätigung verlangen.

Trivy kann im selben Lauf auch SBOMs im SPDX- oder CycloneDX-Format erzeugen und MSPs damit Build-Nachweise liefern, die sie ohne separates Werkzeug an Kunden oder Prüfer weitergeben können.

Was das Gate nicht abdeckt

Ein sauberer Scan belegt bekannte Probleme in diesem Artefakt zu diesem Zeitpunkt – er ersetzt weder Image-Signierung, Admission Control noch Laufzeiterkennung und sagt nichts über einen Zero-Day aus. Secret-Scanning gehört als Routinehygiene neben das Schwachstellen-Scannen, nicht als Ersatz für Patch-Service-Level-Agreements.

Die Grundlagen richtig zu machen – eine festgelegte Scanner-Version, eine klare Schweregrad-Schwelle und eine Ticket-Historie – ist für die meisten Flotten wichtiger, als jeder neuen Scan-Funktion hinterherzujagen.

Quellen: GitHub — aquasecurity/trivy, Trivy-Dokumentation.