Trivy est un outil qui vous permet de rechercher d’éventuelles vulnérabilités dans les images Docker ou les dépôts Git.
Installation
- Tout d’abord, nous devons installer les dépendances nécessaires
1sudo apt install apt-transport-https gnupg lsb-release
- Maintenant nous devons ajouter la clé publique
1wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add -
- Ajouter le dépôt Trivy
1echo deb https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main | sudo tee -a /etc/apt/sources.list.d/trivy.list
- Enfin, nous pouvons mettre à jour le dépôt et procéder à l’installation de Trivy
1sudo apt install trivy
Analyse des images Docker
1trivy image python:3.4-alpine
Analyse d’un dépôt git distant
1trivy repo https://github.com/knqyf263/trivy-ci-test
Sortie du rapport au format JSON
1trivy image -f json -o results.json golang:1.12-alpine
En résumé, il ne faut pas considérer que parce que l’on utilise un service dans un conteneur, celui-ci est sécurisé car il peut y avoir de multiples failles de sécurité dans ces images Docker et le noyau utilisé, il faut donc penser à mettre à jour régulièrement ces conteneurs.