Trivy คืออะไร และวิธีใช้สแกนช่องโหว่ของคอนเทนเนอร์

ทดสอบบน Ubuntu Server 24.04 LTS

1. 1

   ติดตั้ง Trivy

   คัดลอก

   curl -fsSL https://aquasecurity.github.io/trivy-repo/deb/public.key | \
     sudo gpg --dearmor -o /usr/share/keyrings/trivy.gpg
   echo "deb [signed-by=/usr/share/keyrings/trivy.gpg] https://aquasecurity.github.io/trivy-repo/deb generic main" | \
     sudo tee /etc/apt/sources.list.d/trivy.list
   sudo apt update && sudo apt -y install trivy

2. 2

   สแกนอิมเมจ

   คัดลอก

   trivy image nginx:alpine
   trivy image --severity HIGH,CRITICAL registry.example.com/team-a/my-app:1.0

3. 3

   สแกนโปรเจกต์โดยไม่ต้องบิลด์

   คัดลอก

   trivy fs --scanners vuln,secret,misconfig /path/to/project

4. 4

   ใส่ในไปป์ไลน์ CI

   ตั้งให้คืนค่าล้มเหลวเมื่อพบช่องโหว่ระดับสูง เพื่อให้บิลด์ไม่ผ่านและทีมต้องแก้ก่อนปล่อย

   คัดลอก

   trivy image --exit-code 1 --severity CRITICAL --ignore-unfixed $IMAGE_TAG

5. 5

   ยกเว้นรายการที่ยอมรับความเสี่ยงแล้ว

   สร้างไฟล์รายการยกเว้นสำหรับช่องโหว่ที่ตรวจสอบแล้วว่าไม่กระทบ พร้อมระบุเหตุผลและวันหมดอายุเพื่อให้กลับมาทบทวน

   คัดลอก

   # .trivyignore
   # ตรวจสอบแล้วว่าไม่กระทบเพราะไม่ได้ใช้ส่วนนั้น ทบทวนอีกครั้ง 2026-12-31
   CVE-2024-12345

6. 6

   ตั้งสแกน Registry ตามรอบ

   ตั้งงานตามรอบให้สแกนอิมเมจทั้งหมดที่ใช้งานอยู่ เพราะช่องโหว่ใหม่ถูกประกาศหลังจากที่บิลด์ไปแล้วได้เสมอ

ใช้ตัวเลือกละเว้นช่องโหว่ที่ยังไม่มีตัวแก้ในช่วงแรก เพื่อให้ทีมโฟกัสกับสิ่งที่แก้ได้จริง มิฉะนั้นรายการยาวเกินจนไม่มีใครอ่าน