Escaneando Imagens Docker com Trivy

Visão Geral

Trivy é um scanner de vulnerabilidades de código aberto abrangente da Aqua Security que detecta vulnerabilidades em pacotes do sistema operacional, dependências específicas de linguagens, configurações incorretas, segredos e violações de licença dentro de imagens de contêiner. Ele se integra a pipelines de CI/CD e suporta múltiplos formatos de saída, incluindo SARIF, CycloneDX e SPDX.

Quando Usar

• Ao realizar avaliações de segurança que envolvem o escaneamento de imagens docker com trivy
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Docker Engine 20.10+
• Trivy v0.50+ instalado
• Acesso à internet para atualizações do banco de dados de vulnerabilidades
• Credenciais do registro de contêiner (para registros privados)

Conceitos Principais

Tipos de Scanner

Níveis de Severidade

• CRÍTICO: CVSS 9.0-10.0 - Ação imediata necessária
• ALTO: CVSS 7.0-8.9 - Corrigir antes da implantação em produção
• MÉDIO: CVSS 4.0-6.9 - Planejar remediação
• BAIXO: CVSS 0.1-3.9 - Aceitar ou corrigir oportunisticamente
• DESCONHECIDO: Sem pontuação - Avaliar manualmente

Banco de Dados de Vulnerabilidades

Trivy usa múltiplos bancos de dados de vulnerabilidades:

• NVD (National Vulnerability Database)
• Red Hat Security Data
• Alpine SecDB
• Debian Security Tracker
• Ubuntu CVE Tracker
• Amazon Linux Security Center
• GitHub Advisory Database

Fluxo de Trabalho

Passo 1: Instalar Trivy

# Linux (apt)
sudo apt-get install wget apt-transport-https gnupg lsb-release
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | gpg --dearmor | sudo tee /usr/share/keyrings/trivy.gpg > /dev/null
echo "deb [signed-by=/usr/share/keyrings/trivy.gpg] https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main" | sudo tee -a /etc/apt/sources.list.d/trivy.list
sudo apt-get update && sudo apt-get install trivy

# macOS
brew install trivy

# Docker
docker pull aquasecurity/trivy:latest

Passo 2: Escaneamento Básico de Imagem

# Scan a public image
trivy image python:3.12-slim

# Scan with severity filter
trivy image --severity CRITICAL,HIGH nginx:latest

# Ignore unfixed vulnerabilities
trivy image --ignore-unfixed alpine:3.19

# Scan local image
docker build -t myapp:latest .
trivy image myapp:latest

# Scan from tar archive
docker save myapp:latest -o myapp.tar
trivy image --input myapp.tar

Passo 3: Opções Avançadas de Escaneamento

# All scanners (vuln + misconfig + secret + license)
trivy image --scanners vuln,misconfig,secret,license myapp:latest

# Generate SBOM in CycloneDX format
trivy image --format cyclonedx --output sbom.cdx.json myapp:latest

# Generate SBOM in SPDX format
trivy image --format spdx-json --output sbom.spdx.json myapp:latest

# JSON output for programmatic processing
trivy image --format json --output results.json myapp:latest

# SARIF output for GitHub Security tab
trivy image --format sarif --output results.sarif myapp:latest

# Template-based output
trivy image --format template --template "@contrib/html.tpl" --output report.html myapp:latest

# Scan specific layers only
trivy image --list-all-pkgs myapp:latest

Passo 4: Escaneamento de Manifestos Kubernetes

# Scan Dockerfile for misconfigurations
trivy config Dockerfile

# Scan Kubernetes manifests
trivy config k8s-deployment.yaml

# Scan Helm charts
trivy config ./helm-chart/

# Scan Terraform files
trivy config ./terraform/

Passo 5: Integração CI/CD

# GitHub Actions
name: Trivy Container Scan
on: push

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Build image
        run: docker build -t myapp:${{ github.sha }} .

      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: myapp:${{ github.sha }}
          format: sarif
          output: trivy-results.sarif
          severity: CRITICAL,HIGH
          exit-code: 1

      - name: Upload Trivy scan results
        uses: github/codeql-action/upload-sarif@v3

…