Implementando Aqua Security para Escaneamento de Contêineres

Visão Geral

Aqua Security oferece o Trivy, o scanner de segurança universal de código aberto mais popular do mundo, projetado para encontrar vulnerabilidades, configurações incorretas, segredos, dados SBOM e problemas de licenciamento em contêineres, Kubernetes, repositórios de código e ambientes de nuvem. O Trivy abrange pacotes de sistema operacional (Alpine, Debian, Ubuntu, RHEL, etc.) e dependências específicas de linguagens (npm, pip, Maven, Go modules, Cargo, etc.) com bancos de dados de vulnerabilidade provenientes do NVD, avisos de fornecedores e GitHub Security Advisories. A plataforma empresarial Aqua estende o Trivy com gerenciamento centralizado de políticas, proteção em tempo de execução e relatórios de conformidade.

Quando Usar

• Ao implantar ou configurar a implementação de recursos de segurança Aqua para escaneamento de contêineres em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Docker instalado para escaneamento de imagens local
• Plataforma CI/CD (GitHub Actions, GitLab CI, Jenkins, etc.)
• Acesso ao registro de contêineres (Docker Hub, ECR, GCR, ACR, Harbor)
• Trivy CLI (trivy) ou Trivy Operator para Kubernetes
• Licença Aqua Platform para recursos empresariais (opcional)

Capacidades Principais de Escaneamento

Escaneamento de Vulnerabilidades de Imagem

O Trivy escaneia imagens de contêineres camada por camada, identificando CVEs em pacotes de sistema operacional e dependências de aplicativos. Ele suporta o escaneamento de imagens locais, imagens de registro remoto e arquivos tar.

# Scan a remote image
trivy image python:3.11-slim

# Scan with severity filter
trivy image --severity HIGH,CRITICAL nginx:latest

# Scan and fail CI if critical CVEs found
trivy image --exit-code 1 --severity CRITICAL myapp:latest

# Generate SBOM in CycloneDX format
trivy image --format cyclonedx --output sbom.json myapp:latest

Escaneamento de Sistema de Arquivos e Repositório

# Scan project directory for vulnerabilities in dependencies
trivy fs --scanners vuln,secret,misconfig .

# Scan a specific lockfile
trivy fs --scanners vuln package-lock.json

# Scan git repository
trivy repo https://github.com/org/project

Escaneamento de Kubernetes com Trivy Operator

O Trivy Operator é executado dentro de um cluster Kubernetes e escaneia continuamente as cargas de trabalho:

# Install Trivy Operator via Helm
helm repo add aqua https://aquasecurity.github.io/helm-charts/
helm repo update
helm install trivy-operator aqua/trivy-operator \
  --namespace trivy-system \
  --create-namespace \
  --set trivy.severity="HIGH,CRITICAL" \
  --set operator.scanJobTimeout="5m"

O operador cria recursos personalizados VulnerabilityReport e ConfigAuditReport para cada carga de trabalho.

Escaneamento de Configurações Incorretas de IaC

# Scan Terraform files
trivy config --severity HIGH,CRITICAL ./terraform/

# Scan Dockerfile for misconfigurations
trivy config Dockerfile

# Scan Kubernetes manifests
trivy config ./k8s-manifests/

Integração CI/CD

GitHub Actions

name: Container Security Scan
on:
  push:
    branches: [main]
  pull_request:

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Build Docker image
        run: docker build -t myapp:${{ github.sha }} .

      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'myapp:${{ github.sha }}'
          format: 'sarif'
          output: 'trivy-results.sarif'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'

      - name: Upload Trivy scan results to GitHub Security tab
        uses: github/codeql-action/upload-sarif@v3
        if: always()
        with:
          sarif_file: 'trivy-results.sarif'

GitLab CI

container_scanning:
  stage: security
  image:
    name: aquasec/trivy:latest
    entrypoint: [""]
  variables:
    FULL_IMAGE_NAME: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA
  script:
    - trivy image --exit-code 0 --format template --template "@/contrib/gitlab.tpl"
      --output gl-container-scanning-report.json $FULL_IMAGE_NAME
    - trivy image --exit-code 1 --severity CRITICAL $FULL_IMAGE_NAME
  artifacts:
    reports:
      container_scanning: gl-container-scanning-report.json

Jenkins Pipeline

pipeline {
    agent any
    stages {
        stage('Build') {
            steps {
                sh 'docker build -t myapp:${BUILD_NUMBER} .'
            }

…