Trivy jako bramka CI: skanuj, blokuj przy krytycznych podatnościach, resztę zgłaszaj

Trivy, otwartoźródłowy skaner utrzymywany przez Aqua Security, stał się domyślnym wyborem do wykrywania znanych podatności, błędów konfiguracji, ujawnionych sekretów i brakujących SBOM-ów, zanim obraz kontenera lub zmiana infrastruktury jako kodu trafi na produkcję. Dla dostawców usług zarządzanych obsługujących wiele pipeline'ów klientów wartość tkwi mniej w samym narzędziu, a bardziej w tym, jak konsekwentnie bramkuje ono kompilację.

Wzorzec: skanuj, blokuj, zgłaszaj

Trwała wersja tego przepływu pracy jest prosta do opisania i łatwa do pominięcia pod presją terminu: skanuj przy każdym uruchomieniu pipeline'u, przerwij zadanie, gdy wyniki przekroczą uzgodniony próg istotności — zazwyczaj wysoki lub krytyczny — i otwórz lub zaktualizuj zgłoszenie z podsumowaniem CVE, skrótem obrazu i właścicielem. Promocja na produkcję pozostaje zablokowana, dopóki podatność nie zostanie naprawiona lub formalnie zaakceptowana jako ryzyko przez osobę uprawnioną do jej akceptacji.

Jak uczynić bramkę operacyjną

• Przypnij konkretną wersję Trivy w CI zamiast zawsze pobierać najnowszą, aby aktualizacja bazy danych nie mogła po cichu zmienić wyników kompilacji.
• Skanuj zbudowany obraz lub plik blokady, a nie tylko drzewo źródłowe, aby uwzględnić zależności przechodnie.
• Zwracaj kod niezerowy przy uzgodnionym progu istotności i przerywaj zadanie pipeline'u.
• Publikuj wyniki w systemie zgłoszeń, którego zespół już używa, z tagami zawierającymi skrót obrazu i właściciela.
• Wymagaj jawnego, rejestrowanego potwierdzenia dla każdego wyjątku zaakceptowanego jako ryzyko.

Trivy może również generować SBOM-y w formacie SPDX lub CycloneDX w ramach tego samego uruchomienia, dając MSP dowody kompilacji, które mogą przekazać klientowi lub audytorowi bez osobnego narzędzia.

Czego bramka nie obejmuje

Czysty skan poświadcza znane problemy w danym artefakcie w danym momencie — nie zastępuje podpisywania obrazów, kontroli dostępu ani wykrywania w czasie rzeczywistym i nie mówi nic o podatnościach zero-day. Skanowanie sekretów powinno towarzyszyć skanowaniu podatności jako rutynowa higiena, a nie zastępować umów SLA dotyczących łatek.

Opanowanie podstaw — przypiętej wersji skanera, jasnego progu istotności i ścieżki zgłoszeń — ma dla większości flot większe znaczenie niż pogoń za każdą nową funkcją skanowania.

Źródła: GitHub — aquasecurity/trivy, Dokumentacja Trivy.