Escaneando IaC e Imagens com Trivy

Visão Geral

Trivy (da Aqua Security) é um scanner de segurança abrangente e de código aberto que encontra vulnerabilidades (CVEs), configurações incorretas (IaC), segredos, licenças de software e fraquezas na cadeia de suprimentos de software em uma ampla gama de alvos: imagens de contêiner, sistemas de arquivos, repositórios Git, imagens de máquinas virtuais, clusters Kubernetes e documentos SBOM. Ele é amplamente adotado como um portão "shift-left" em pipelines CI/CD porque é rápido, roda como um único binário estático, não requer agente e suporta formatos de saída legíveis por máquina (JSON, SARIF, CycloneDX, SPDX) para integração com painéis de escaneamento de código.

Trivy agrupa quatro scanners principais que podem ser alternados com --scanners:

• vuln — Detecção de vulnerabilidades em pacotes do SO e dependências de linguagem (correspondência de CVEs com o banco de dados de vulnerabilidades do Trivy).
• misconfig — Detecção de configurações incorretas de Infraestrutura como Código (IaC) e configurações (Terraform, CloudFormation, manifestos Kubernetes, Dockerfile, Helm) usando políticas Rego integradas e personalizadas.
• secret — Detecção de segredos/credenciais codificados (chaves de API, tokens, chaves privadas).
• license — Identificação de licenças de software e aplicação de políticas.

Esta habilidade abrange a construção de um fluxo de trabalho de escaneamento baseado em Trivy que controla um pipeline CI/CD: escaneando imagens antes do push, escaneando IaC antes do apply, gerando e re-escaneando SBOMs, e falhando builds em violações de política. A detecção dessas fraquezas defende contra a técnica MITRE ATT&CK T1525 (Implantar Imagem Interna), onde adversários inserem imagens maliciosas ou vulneráveis em um registro para serem implantadas em todo o ambiente.

Quando Usar

• Ao integrar o escaneamento de vulnerabilidades e configurações incorretas em um pipeline CI/CD como um portão de qualidade/segurança antes que as imagens sejam enviadas ou a infraestrutura seja aplicada.
• Ao auditar imagens de contêiner em um registro em busca de CVEs conhecidos antes da implantação.
• Ao validar Terraform, CloudFormation, Kubernetes, Dockerfile ou Helm IaC para configurações incorretas de segurança.
• Ao gerar um SBOM (CycloneDX/SPDX) para transparência da cadeia de suprimentos e, posteriormente, re-escanear esse SBOM em busca de CVEs recém-divulgados.
• Ao escanear um cluster Kubernetes em execução em busca de cargas de trabalho vulneráveis e RBAC/recursos mal configurados.
• Ao impor políticas de conformidade de licença em dependências.

Pré-requisitos

• Um host Linux/macOS/Windows ou runner de CI com acesso à rede para baixar o banco de dados de vulnerabilidades do Trivy.
• Docker (opcional) se estiver escaneando imagens locais por nome ou usando o Trivy em contêiner.
• Instale o Trivy (métodos oficiais da Aqua Security):

# Debian/Ubuntu (APT repository)
sudo apt-get install -y wget gnupg
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | gpg --dearmor | sudo tee /usr/share/keyrings/trivy.gpg > /dev/null
echo "deb [signed-by=/usr/share/keyrings/trivy.gpg] https://aquasecurity.github.io/trivy-repo/deb generic main" | sudo tee /etc/apt/sources.list.d/trivy.list
sudo apt-get update
sudo apt-get install -y trivy

# RHEL/CentOS (YUM repository), macOS (Homebrew), and install script
brew install trivy
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sudo sh -s -- -b /usr/local/bin

# Containerized usage (no install)
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image python:3.10-alpine

# Verify
trivy --version

• Para ambientes air-gapped ou com limite de taxa, pré-baixe o DB com trivy image --download-db-only e os pacotes Java/política conforme necessário.

Objetivos

• Escanear uma imagem de contêiner em busca de vulnerabilidades do SO e de linguagem e falhar o build acima de um limite de severidade.
• Escanear IaC (Terraform/Kubernetes/Dockerfile) em busca de configurações incorretas.
• Detectar segredos codificados em um repositório ou sistema de arquivos.
• Gerar um SBOM CycloneDX ou SPDX e re-escanear em busca de vulnerabilidades.
• Emitir SARIF para escaneamento de código do GitHub e JSON para controle programático.
• Integrar o Trivy em um pipeline CI/CD com --exit-code para impor políticas.

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Escanear uma imagem de contêiner em busca de vulnerabilidades

…