Trivy som CI-grind: skanna, stoppa vid allvarlighetsgrad, skapa ärende för resten

Trivy, open-source-skannern som underhålls av Aqua Security, har blivit ett standardval för att fånga kända sårbarheter, felkonfigurationer, exponerade hemligheter och saknade SBOM:er innan en containeravbild eller infrastruktur-som-kod-ändring når produktion. För managed service providers som kör många kundpipelines ligger värdet mindre i själva verktyget och mer i hur konsekvent det grinder bygget.

Mönstret: skanna, stoppa, skapa ärende

Den hållbara versionen av detta arbetsflöde är enkel att beskriva och lätt att hoppa över under tidspress: skanna vid varje pipelinekörning, stoppa jobbet när fynd överskrider en överenskommen allvarlighetsgrad — vanligtvis hög eller kritisk — och öppna eller uppdatera ett ärende med CVE-sammanfattningen, avbildsdigest och en ägare. Driftsättning till produktion förblir blockerad tills fyndet är åtgärdat eller formellt riskaccepterat av någon med befogenhet att acceptera det.

Att göra grinden operativ

• Lås en specifik Trivy-version i CI i stället för att alltid hämta senaste, så att en databasuppdatering inte tyst kan ändra byggresultat.
• Skanna den byggda avbilden eller lockfilen, inte bara källträdet, så att transitiva beroenden täcks.
• Avsluta med icke-noll vid den överenskomna allvarlighetsgraden och stoppa pipeline-jobbet.
• Publicera resultat till den ärendehanterare teamet redan använder, taggade med avbildsdigest och ägare.
• Kräv en uttrycklig, loggad bekräftelse för varje riskaccepterat undantag.

Trivy kan också generera SBOM:er i SPDX- eller CycloneDX-format som en del av samma körning, vilket ger MSP:er byggbevis som de kan lämna till en kund eller revisor utan ett separat verktyg.

Vad grinden inte täcker

En ren skanning intygar kända problem i den artefakten vid det ögonblicket — den ersätter inte avbildssignering, antagningskontroll eller körningsdetektering, och den säger ingenting om en nolldag. Hemlighetsskanning hör hemma vid sidan av sårbarhetsskanning som rutinhygien, inte som en ersättning för patch-SLA:er.

Att få grunderna rätt — en låst skannerversion, en tydlig allvarlighetsgråns och ett ärendespår — betyder mer för de flesta flottor än att jaga varje ny skanningsfunktion.

Källor: GitHub — aquasecurity/trivy, Trivy-dokumentation.