在云原生安全的场景中，一个常见的场景就是对漏洞和配置进行扫描，以发现整个 K8s 环境的安全问题。今天我们来介绍一个高效的扫描工具Trivy。
Trivy 是什么
- Trivy（tri 发音为 trigger，vy 发音为 envy）是一个简单而全面的漏洞/错误配置扫描器，用于容器和 K8s 环境。
- 软件漏洞是软件或操作系统中存在的故障、缺陷或弱点。
- Trivy 检测操作系统包（Alpine、RHEL、CentOS 等）和特定语言包（Bundler、Composer、npm、yarn 等）的漏洞。
- 此外，Trivy 会扫描基础设施即代码 (IaC) 文件，例如 Terraform 和 Kubernetes，以检测使您的部署面临攻击风险的潜在配置问题。
- Trivy 易于使用。只需安装二进制文件，您就可以开始扫描了。扫描所需要做的就是指定一个目标，例如容器的镜像名称。
Trivy 的类型
Trivy 检测两种类型的安全问题 ：
- 漏洞
- 配置错误
Trivy 可以扫描三种不同的对象：
- 容器镜像
- 文件系统
- Git 仓库
Trivy 可以在两种不同的模式下运行：
- standalone
- server-client
Trivy 的特征
- 全面的漏洞检测
涵盖操作系统包操作系统包、开语言、错误配置、策略等内容。
- 简单
仅指定镜像名称、包含 IaC 配置的目录或工件名称
- 快速
理想情况下可以在几十秒内完成扫描动作。
- 易于安装
是一个简易的执行工具，apt-get install,yum install，brew install 均可安装，没有前置条件，如安装DB的，依赖库等
- 高精确度
特别是 Alpine Linux 和 RHEL/CentOS，其他操作系统也高。
Trivy 的安装
Yum 源方式安装
# Yum 源方式安装
$ sudo vim /etc/yum.repos.d/trivy.repo[trivy]name=Trivy repositorybaseurl=https://aquasecurity.github.io/trivy-repo/rpm/releases/$releasever/$basearch/gpgcheck=0enabled=1$ sudo yum -y update$ sudo yum -y install trivy
rpm 方式安装
rpm -ivh https://github.com/aquasecurity/trivy/releases/download/v0.19.2/trivy_0.19.2_Linux-64bit.rpm
二进制方式安装
mkdir -p $GOPATH/src/github.com/aquasecuritycd
$GOPATH/src/github.com/aquasecuritygit clone --depth 1 --branch v0.19.2 https://github.com/aquasecurity/trivy
cd trivy/cmd/trivy/
export GO111MODULE=ongo
install
快速执行
trivy <target> [--security-checks <scanner1,scanner2>] <subject>
例如
trivy image nginx:1.16
Trivy 过滤漏洞
默认情况下， Trivy还会检测未修补/未修复的漏洞。这意味着即使您更新所有软件包，您也无法修复这些漏洞。如果您想忽略它们，请使用该--ignore-unfixed选项。
隐藏未修复得漏洞
# trivy image --ignore-unfixed nginx:1.16
按严重程度, 使用--severity选项
# trivy image --severity HIGH,CRITICAL nginx:1.16
按漏洞ID, 使用.trivyignore
# cat .trivyignore# Accept the riskCVE-2018-14618# No impact in our settingsCVE-2019-1543# trivy image nginx:1.16
按类型, 使用--vuln-type选项
# trivy image --vuln-type os nginx:1.16
Trivy 漏洞报告格式
指定输出格式为表格（默认）
# trivy image -f table nginx:1.16
指定输出格式为 json
# trivy image -f json -o results.json nginx:1.16
Trivy 项目信息
Github 项目地址：https://github.com/aquasecurity/trivy
关于HummerRisk
HummerRisk 是开源的云原生安全平台，以非侵入的方式解决云原生的安全和治理问题，核心能力包括混合云的安全治理和K8S容器云安全检测。
