Trivy

Antes de uma imagem de contêiner chegar à produção, alguém precisa saber o que vai dentro dela. O Trivy faz essa conferência pela linha de comando: varre imagens de contêiner, pastas de projeto, repositórios Git, imagens de máquina virtual e clusters Kubernetes, e devolve a lista de problemas encontrados. Quem desenvolve o projeto é a Aqua Security.

Para que serve

• Listar vulnerabilidades conhecidas (CVEs) nos pacotes do sistema e nas dependências de uma imagem antes do deploy.
• Achar senhas, tokens e chaves que ficaram esquecidos no código.
• Revisar arquivos de infraestrutura como código em busca de configuração insegura.
• Gerar o SBOM, o inventário de componentes do software, que ajuda a entender a cadeia de suprimentos de software.
• Conferir as licenças das dependências usadas no projeto.

Como começar

O README oferece três formas de instalar: Homebrew, a imagem Docker aquasec/trivy ou o binário da página de releases. No macOS ou Linux com Homebrew, o primeiro teste fica assim:

brew install trivy
trivy image python:3.4-alpine

O formato geral do comando é trivy <alvo> [--scanners <lista>] <objeto>. Para varrer uma pasta de projeto atrás de vulnerabilidades, segredos e configuração errada de uma vez:

trivy fs --scanners vuln,secret,misconfig myproject/

Em Kubernetes, trivy k8s --report summary cluster gera um resumo do cluster. Rode a varredura em ambientes seus ou que você tem autorização para analisar.

Licença e custo

A licença é Apache-2.0. Usar, modificar e embutir o Trivy em produto comercial é permitido, com a manutenção dos avisos de licença e de direitos autorais. A Aqua Security vende um produto comercial construído sobre o Trivy, com recursos extras de gestão de segurança. O README traz uma tabela comparando as duas versões.

Quando vale a pena

Serve bem para times de DevOps e AppSec que querem uma checagem de segurança no pipeline sem juntar uma ferramenta para cada tipo de problema. O Trivy aponta o que está errado; decidir a ordem de correção continua sendo trabalho do time, e um relatório com centenas de CVEs precisa de critério de prioridade. Alternativas conhecidas são o Grype, da Anchore, para imagens e dependências, e o Checkov para infraestrutura como código.