performing-container-security-scanning-with-trivy

使用 Trivy 执行容器安全扫描

概述

Trivy 是 Aqua Security 开源的安全扫描器，可检测操作系统软件包和语言特定依赖项中的漏洞、基础设施即代码（IaC）错误配置、暴露的密钥和软件许可证问题，扫描目标涵盖容器镜像、文件系统、Git 仓库和 Kubernetes 集群。Trivy 可生成 CycloneDX 和 SPDX 格式的软件物料清单（SBOM），提供供应链透明度。本 skill 涵盖全面的容器镜像扫描、CI/CD 流水线集成、Kubernetes Operator 部署以及用于安全运营的扫描结果分诊（Triage）。

前置条件

• Trivy v0.50+（二进制、Docker 或 Homebrew 方式安装）
• 本地镜像扫描需要 Docker daemon 访问权限
• 远程镜像扫描需要容器镜像仓库凭据
• CI/CD 平台（GitHub Actions、GitLab CI、Jenkins）用于流水线集成
• Kubernetes 集群用于 Trivy Operator 部署（可选）

步骤

步骤 1：扫描容器镜像

对本地构建或远程镜像仓库中的容器镜像执行漏洞和密钥扫描。配置严重性阈值并忽略未修复的漏洞。

步骤 2：生成 SBOM

从扫描的镜像生成 CycloneDX 或 SPDX 格式的 SBOM 文档，用于供应链合规和软件生命周期的漏洞追踪。

步骤 3：扫描 IaC 和 Kubernetes 清单

使用内置策略检查（与 CIS Benchmark 对齐），检测 Dockerfile、Kubernetes YAML、Terraform 和 Helm chart 中的错误配置。

步骤 4：集成到 CI/CD 流水线

将 Trivy 扫描作为流水线门控，阻止存在严重/高危漏洞的构建，为 GitHub Advanced Security 生成 SARIF 报告，并为测试仪表板生成 JUnit XML 报告。

预期输出

JSON/表格格式报告，列出 CVE 及其严重程度、CVSS 评分、修复版本、受影响软件包、错误配置发现项，以及带文件位置的暴露密钥。