Trivy como puerta de control en CI: escanear, fallar por gravedad y registrar el resto

Trivy, el escáner de código abierto mantenido por Aqua Security, se ha convertido en la opción predeterminada para detectar vulnerabilidades conocidas, configuraciones incorrectas, secretos expuestos y SBOM faltantes antes de que una imagen de contenedor o un cambio de infraestructura como código llegue a producción. Para los proveedores de servicios gestionados que ejecutan muchos pipelines de clientes, el valor no reside tanto en la herramienta en sí como en la coherencia con la que actúa como puerta de control de la compilación.

El patrón: escanear, fallar, abrir ticket

La versión duradera de este flujo de trabajo es sencilla de describir y fácil de omitir bajo la presión de los plazos: escanear en cada ejecución del pipeline, hacer fallar el trabajo cuando los hallazgos superen un umbral de gravedad acordado — normalmente alto o crítico — y abrir o actualizar un ticket con el resumen de CVE, el digest de la imagen y un responsable. La promoción a producción permanece bloqueada hasta que el hallazgo se corrija o se acepte formalmente el riesgo por parte de alguien con autoridad para aceptarlo.

Hacer operativa la puerta de control

• Fijar una versión específica de Trivy en CI en lugar de usar siempre la última, para que una actualización de la base de datos no pueda cambiar silenciosamente los resultados de la compilación.
• Escanear la imagen compilada o el archivo de bloqueo, no solo el árbol de código fuente, para que se cubran las dependencias transitivas.
• Salir con un código distinto de cero al superar el umbral de gravedad acordado y hacer fallar el trabajo del pipeline.
• Publicar los resultados en el gestor de incidencias que el equipo ya utiliza, etiquetados con el digest de la imagen y el responsable.
• Exigir un acuse de recibo explícito y registrado para cualquier excepción de riesgo aceptado.

Trivy también puede generar SBOM en formato SPDX o CycloneDX como parte de la misma ejecución, lo que proporciona a los MSP evidencias de compilación que pueden entregar a un cliente o auditor sin necesidad de una herramienta independiente.

Lo que la puerta de control no cubre

Un escaneo limpio da fe de los problemas conocidos en ese artefacto en ese momento — no sustituye la firma de imágenes, el control de admisión ni la detección en tiempo de ejecución, y no dice nada sobre un zero-day. El escaneo de secretos debe acompañar al escaneo de vulnerabilidades como higiene rutinaria, no como sustituto de los acuerdos de nivel de servicio de parches.

Acertar con lo básico — una versión fijada del escáner, un umbral de gravedad claro y un registro de tickets — importa más para la mayoría de las flotas que perseguir cada nueva función de escaneo.

Fuentes: GitHub — aquasecurity/trivy, Documentación de Trivy.