Trivy come gate della CI: scansione, blocco per gravità, ticket per il resto

Trivy, lo scanner open source mantenuto da Aqua Security, è diventato una scelta predefinita per individuare vulnerabilità note, errori di configurazione, segreti esposti e SBOM mancanti prima che un'immagine container o una modifica infrastructure-as-code arrivi in produzione. Per i managed service provider che gestiscono molte pipeline dei clienti, il valore non sta tanto nello strumento in sé, quanto nella coerenza con cui fa da gate alla build.

Il pattern: scansione, blocco, ticket

La versione duratura di questo flusso di lavoro è semplice da descrivere e facile da saltare quando sei sotto pressione con le scadenze: esegui la scansione a ogni run della pipeline, blocca il job quando i rilevamenti superano una soglia di gravità concordata — in genere high o critical — e apri o aggiorna un ticket con il riepilogo delle CVE, il digest dell'immagine e un owner. La promozione in produzione resta bloccata finché il rilevamento non viene corretto o formalmente accettato come rischio da qualcuno con l'autorità per farlo.

Rendere operativo il gate

• Fissa una versione specifica di Trivy nella CI invece di scaricare sempre l'ultima, così un aggiornamento del database non può cambiare silenziosamente gli esiti della build.
• Esegui la scansione dell'immagine buildata o del lockfile, non solo dell'albero dei sorgenti, così vengono coperte anche le dipendenze transitive.
• Esci con codice non-zero alla soglia di gravità concordata e blocca il job della pipeline.
• Pubblica i risultati nello strumento di issue tracking già utilizzato dal team, taggandoli con il digest dell'immagine e l'owner.
• Richiedi una presa d'atto esplicita e registrata per ogni eccezione accettata come rischio.

Trivy può anche generare SBOM in formato SPDX o CycloneDX nell'ambito della stessa esecuzione, fornendo agli MSP una prova della build da consegnare a un cliente o a un revisore senza dover usare uno strumento separato.

Cosa non copre il gate

Una scansione pulita attesta i problemi noti in quell'artefatto in quel momento: non sostituisce la firma delle immagini, l'admission control o il rilevamento a runtime e non dice nulla su uno zero-day. La scansione dei segreti va affiancata alla scansione delle vulnerabilità come igiene ordinaria, non come surrogato degli accordi sui livelli di servizio per le patch.

Per la maggior parte delle flotte, fare bene le basi — una versione bloccata dello scanner, una soglia di gravità chiara e una traccia di ticket — conta più che inseguire ogni nuova funzionalità di scansione.

Fonti: GitHub — aquasecurity/trivy, Documentazione di Trivy.