Trivy ca poartă CI: scanează, blochează după severitate, tichetează restul

Trivy, scannerul open-source întreținut de Aqua Security, a devenit o alegere implicită pentru detectarea vulnerabilităților cunoscute, a configurărilor greșite, a secretelor expuse și a SBOM-urilor lipsă înainte ca o imagine de container sau o modificare de infrastructură ca cod să ajungă în producție. Pentru furnizorii de servicii gestionate care rulează multe pipeline-uri pentru clienți, valoarea stă mai puțin în instrumentul în sine și mai mult în consecvența cu care acesta blochează build-ul.

Tiparul: scanează, blochează, tichetează

Versiunea durabilă a acestui flux de lucru este simplu de descris și ușor de ignorat sub presiunea termenelor-limită: scanează la fiecare rulare de pipeline, blochează jobul când constatările depășesc un prag de severitate convenit — de obicei ridicat sau critic — și deschide sau actualizează un tichet cu rezumatul CVE, digestul imaginii și un responsabil. Promovarea în producție rămâne blocată până când constatarea este remediată sau acceptată formal ca risc de cineva cu autoritatea de a o accepta.

Operaționalizarea porții

• Fixează o versiune specifică de Trivy în CI, în loc să folosești mereu eticheta latest, astfel încât o actualizare a bazei de date să nu poată schimba silențios rezultatele build-ului.
• Scanează imaginea construită sau fișierul lockfile, nu doar arborele sursă, astfel încât dependențele tranzitive să fie acoperite.
• Ieși cu cod diferit de zero la pragul de severitate convenit și blochează jobul de pipeline.
• Publică rezultatele în sistemul de tichete pe care echipa îl folosește deja, etichetate cu digestul imaginii și responsabilul.
• Cere o confirmare explicită, înregistrată, pentru orice excepție acceptată ca risc.

Trivy poate genera, de asemenea, SBOM-uri în format SPDX sau CycloneDX în cadrul aceleiași rulări, oferindu-le MSP-urilor dovezi de build pe care le pot transmite unui client sau auditor fără un instrument separat.

Ce nu acoperă poarta

O scanare curată atestă problemele cunoscute din acel artefact la acel moment — nu înlocuiește semnarea imaginilor, controlul admiterii sau detecția la runtime și nu spune nimic despre un zero-day. Scanarea secretelor trebuie să existe alături de scanarea vulnerabilităților ca igienă de rutină, nu ca un substitut pentru acordurile de nivel de serviciu privind patch-urile.

Să pui la punct elementele de bază — o versiune de scanner fixată, un prag de severitate clar și un istoric de tichete — contează mai mult pentru majoritatea flotelor decât urmărirea fiecărei funcții noi de scanare.

Surse: GitHub — aquasecurity/trivy, Documentația Trivy.