Trivy como porta de entrada de CI: analisar, falhar por severidade e registar o resto

O Trivy, o scanner open-source mantido pela Aqua Security, tornou-se uma escolha padrão para detetar vulnerabilidades conhecidas, configurações incorretas, segredos expostos e SBOMs em falta antes de uma imagem de contentor ou uma alteração de infraestrutura como código chegar a produção. Para prestadores de serviços geridos que gerem muitos pipelines de clientes, o valor está menos na ferramenta em si e mais na consistência com que ela bloqueia o build.

O padrão: analisar, falhar, registar

A versão duradoura deste fluxo de trabalho é simples de descrever e fácil de ignorar sob pressão de prazos: analisar em cada execução do pipeline, fazer o job falhar quando os resultados ultrapassam um limiar de severidade acordado — tipicamente alto ou crítico — e abrir ou atualizar um ticket com o resumo do CVE, o digest da imagem e um responsável. A promoção para produção permanece bloqueada até a correção ser aplicada ou o risco ser formalmente aceite por alguém com autoridade para o aceitar.

Tornar a porta operacional

• Fixar uma versão específica do Trivy no CI em vez de usar sempre a mais recente, para que uma atualização da base de dados não altere silenciosamente os resultados do build.
• Analisar a imagem construída ou o lockfile, não apenas a árvore de código-fonte, para que as dependências transitivas sejam cobertas.
• Sair com código diferente de zero no limiar de severidade acordado e fazer o job do pipeline falhar.
• Publicar os resultados no sistema de tickets que a equipa já utiliza, etiquetados com o digest da imagem e o responsável.
• Exigir um reconhecimento explícito e registado para qualquer exceção de risco aceite.

O Trivy também pode gerar SBOMs nos formatos SPDX ou CycloneDX na mesma execução, dando aos MSP evidências de build que podem entregar a um cliente ou auditor sem uma ferramenta separada.

O que a porta não cobre

Uma análise limpa atesta problemas conhecidos naquele artefacto naquele momento — não substitui a assinatura de imagens, o controlo de admissão ou a deteção em runtime, e nada diz sobre um zero-day. A análise de segredos deve acompanhar a análise de vulnerabilidades como higiene de rotina, não como substituto dos acordos de nível de serviço de aplicação de patches.

Acertar no básico — uma versão do scanner fixada, um limiar de severidade claro e um rasto de tickets — importa mais para a maioria das frotas do que correr atrás de cada nova funcionalidade de análise.

Fontes: GitHub — aquasecurity/trivy, Documentação do Trivy.