Trivy comme porte CI : scanner, échouer sur la gravité, ticketter le reste

Trivy, le scanner open-source maintenu par Aqua Security, est devenu un choix par défaut pour détecter les vulnérabilités connues, les erreurs de configuration, les secrets exposés et les SBOM manquants avant qu’une image de conteneur ou un changement d’infrastructure-as-code n’atteigne la production. Pour les fournisseurs de services gérés exécutant de nombreux pipelines clients, la valeur réside moins dans l’outil lui-même que dans la constance avec laquelle il contrôle la build.

Le modèle : scanner, échouer, ticketter

La version durable de ce workflow est simple à décrire et facile à négliger sous la pression des délais : scanner à chaque exécution de pipeline, échouer la tâche lorsque les découvertes dépassent un seuil de gravité convenu — généralement élevé ou critique — et ouvrir ou mettre à jour un ticket avec le résumé CVE, le digest de l’image et un propriétaire. La promotion en production reste bloquée jusqu’à ce que la découverte soit corrigée ou formellement acceptée comme risque par une personne habilitée à l’accepter.

Rendre la porte opérationnelle

• Épingler une version spécifique de Trivy dans le CI plutôt que de toujours récupérer la dernière, afin qu’une mise à jour de base de données ne modifie pas silencieusement les résultats de build.
• Scanner l’image construite ou le fichier verrouillé, et non seulement l’arborescence source, afin que les dépendances transitives soient couvertes.
• Quitter avec un code non nul sur le seuil de gravité convenu et faire échouer la tâche du pipeline.
• Publier les résultats dans le gestionnaire de tickets déjà utilisé par l’équipe, étiquetés avec le digest de l’image et le propriétaire.
• Exiger un accusé explicite et journalisé pour toute exception acceptée comme risque.

Trivy peut également générer des SBOM au format SPDX ou CycloneDX lors de la même exécution, fournissant aux MSP des preuves de build qu’ils peuvent remettre à un client ou à un auditeur sans outil supplémentaire.

Ce que la porte ne couvre pas

Un scan propre atteste des problèmes connus dans cet artefact à cet instant — il ne remplace ni la signature d’image, ni le contrôle d’admission, ni la détection à l’exécution, et ne dit rien d’une vulnérabilité zero-day. Le scan de secrets s’ajoute au scan de vulnérabilités comme une hygiène de routine, et non comme substitut aux accords de niveau de service de correctifs.

Appliquer correctement les bases — une version épinglée du scanner, un seuil de gravité clair et une piste de tickets — importe plus pour la plupart des parcs que de poursuivre chaque nouvelle fonctionnalité de scan.

Sources : GitHub — aquasecurity/trivy, Trivy documentation.