Trivy als CI-poort: scannen, falen op ernst, de rest als ticket

Trivy, de open-source scanner die wordt onderhouden door Aqua Security, is een standaardkeuze geworden voor het opsporen van bekende kwetsbaarheden, misconfiguraties, blootgestelde geheimen en ontbrekende SBOM's voordat een containerimage of infrastructure-as-code-wijziging productie bereikt. Voor managed service providers die veel klantpipelines draaien, zit de waarde minder in de tool zelf en meer in hoe consequent die de build afgrendelt.

Het patroon: scannen, falen, ticketen

De duurzame versie van deze workflow is eenvoudig te beschrijven en makkelijk over te slaan onder tijdsdruk: scan bij elke pipeline-run, laat de job falen wanneer bevindingen een afgesproken ernstdrempel overschrijden — doorgaans hoog of kritiek — en maak of update een ticket met de CVE-samenvatting, image digest en een eigenaar. Promotie naar productie blijft geblokkeerd totdat de bevinding is opgelost of formeel risico-geaccepteerd door iemand met de bevoegdheid om dat te accepteren.

De poort operationeel maken

• Pin een specifieke Trivy-versie in CI in plaats van altijd latest te trekken, zodat een database-update niet stilletjes builduitkomsten kan veranderen.
• Scan de gebouwde image of het lockfile, niet alleen de broncode, zodat transitieve afhankelijkheden worden gedekt.
• Sluit af met een non-zero exit op de afgesproken ernstdrempel en laat de pipeline-job falen.
• Plaats resultaten in de issuetracker die het team al gebruikt, getagd met de image digest en eigenaar.
• Vereis een expliciete, gelogde bevestiging voor elke risico-geaccepteerde uitzondering.

Trivy kan ook SBOM's genereren in SPDX- of CycloneDX-formaat als onderdeel van dezelfde run, waardoor MSP's buildbewijs krijgen dat ze aan een klant of auditor kunnen overhandigen zonder een aparte tool.

Wat de poort niet dekt

Een schone scan getuigt van bekende problemen in dat artefact op dat moment — het vervangt geen image signing, admission control of runtime-detectie, en het zegt niets over een zero-day. Secret scanning hoort naast kwetsbaarhedenscanning als routine-hygiëne, niet als vervanging voor patch service-level agreements.

De basis goed krijgen — een gepinde scanner-versie, een duidelijke ernstdrempel en een ticketspoor — is voor de meeste fleets belangrijker dan het najagen van elke nieuwe scanfunctie.

Bronnen: GitHub — aquasecurity/trivy, Trivy-documentatie.