一款容器镜像漏洞扫描器-Trivy

Trivy是一款全面而多功能的安全扫描器。Trivy 的扫描器可以查找安全问题，并确定可以找到这些问题的目标。

目标（Trivy 可以扫描的内容）：

• 容器镜像
• 文件系统
• Git 存储库（远程）
• 虚拟机映像
• Kubernetes

扫描（Trivy 可以发现的内容）：

• 正在使用的操作系统包和软件依赖项 (SBOM)
• 已知漏洞 (CVE)
• IaC （基础设施即代码工具）问题和错误配置
• 敏感信息和机密
• 软件许可证

Trivy 支持大多数流行的编程语言、操作系统和平台。想获取更多功能信息可以查看官方文档：

https://trivy.dev/latest/docs/

安装

Trivy 可在大多数常见环境中使用。

一、Linux：

mkdir trivycd trivywget https://github.com/aquasecurity/trivy/releases/download/v0.58.1/trivy_0.58.1_Linux-32bit.tar.gztar -zxvf trivy_0.58.1_Linux-64bit.tar.gz

二、Windows

https://github.com/aquasecurity/trivy/releases/latest/下载二进制文件

解压即可运行

更多内容请参见安装文档：

https://trivy.dev/latest/getting-started/installation/

使用

首次使用trivy需要下载trivy-db，该数据库下载和更新都比较慢，有条件的可以使用科学上网，也可以去源下载db并设置指向。之后可以使用"--skip-db-update --skip-java-db-update"跳过更新

trivy image --input[镜像名/镜像tar包]

访问项目地址查看：https://github.com/aquasecurity/trivy/

原文始发于微信公众号（CatalyzeSec）：一款容器镜像漏洞扫描器-Trivy