开源安全扫描神器Trivy全解析一个工具搞定容器、K8s、代码仓库的漏洞与密钥【免费下载链接】trivyFind vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more项目地址: https://gitcode.com/GitHub_Trending/tr/trivyTrivy是一款开源安全扫描神器能帮你一次扫出容器镜像、Kubernetes 集群、代码仓库中的已知漏洞CVE、配置错误和泄露的密钥还能顺手生成 SBOM 软件物料清单。它由 Aqua Security 开源采用 Apache-2.0 协议是目前 GitHub 上最热门的安全工具之一 一分钟认识 Trivy目标 × 扫描器Trivy 的设计思路非常直观只需理解两个概念见 README.md概念含义Trivy 支持的目标Target目标扫描什么容器镜像、文件系统、Git 仓库、虚拟机镜像、Kubernetes 集群Scanner扫描器扫描什么内容系统/语言依赖漏洞、IaC 配置错误、敏感密钥、软件许可证它的命令模式固定为trivy 目标 [--scanners 扫描器] 对象一条命令就能组合出各种扫描任务对新手极其友好。 快速安装步骤3 种方式任选官方文档提供了详尽的安装指南见 docs/getting-started/installation.md。最常用的是以下三种Mac / Linux推荐新手一条命令安装brew install trivyDocker 方式无需本地环境直接拉取官方镜像docker run aquasec/trivy image python:3.4-alpine脚本一键安装官方提供 contrib/install.sh执行后自动下载最新二进制并放入/usr/local/binLinux 用户还可以使用 apt / yum 官方软件源安装Windows 用户则可直接下载压缩包解压即用。 场景一容器镜像漏洞扫描这是 Trivy 最经典的能力。执行下面这条命令它会自动从仓库拉取镜像、识别基础操作系统和语言依赖并匹配漏洞库trivy image python:3.4-alpine扫描结果以清晰的表格呈现库名、CVE 编号、严重级别、已安装版本、修复版本一目了然帮你快速判断哪些漏洞必须修、怎么修。 场景二代码仓库扫描——漏洞 密钥 配置一次到位对本地项目目录执行trivy fs --scanners vuln,secret,misconfig myproject/这一条命令同时开启三类扫描器漏洞vuln解析项目中的 lock 文件如package-lock.json、go.mod、pom.xml等检测依赖库的已知漏洞。Trivy 支持绝大多数主流编程语言和操作系统源码实现位于 pkg/dependency/parser/解析器覆盖 Node.js、Python、Java、Go、Ruby、Rust 等全家桶。密钥secret内置大量规则可识别 AWS Access Key、GitHub Token、GCP 服务账号、Slack Token 等常见凭证甚至能扫描编译后的 Python 文件.pyc。详见 docs/guide/scanner/secret.md。配置错误misconfig基于 OPA Rego 规则检查 Terraform、Dockerfile、Kubernetes YAML 等 IaC 文件的危险配置规则集在 pkg/iac/rego/还支持用自定义 Rego 策略扩展示例见 examples/ignore-policies/。☸️ 场景三Kubernetes 集群审计集群层面同样只需一条命令trivy k8s --report summary clusterTrivy 会遍历集群中的所有工作负载对每个 Pod 使用的镜像做漏洞扫描、对资源 YAML 做配置审计最后输出一份按严重级别汇总的 summary 报告——Critical、High 有多少哪些命名空间风险最高一目了然。相关实现见 pkg/k8s/集群扫描文档见 docs/tutorials/kubernetes/cluster-scanning.md。 进阶玩法Client-Server 模式与合规扫描在 CI/CD 流水线中反复下载漏洞数据库会很慢。Trivy 提供了Client-Server 模式部署一个服务端集中维护漏洞库各构建节点作为客户端连过去扫描大幅提升流水线效率。架构说明见 docs/guide/references/modes/client-server.md。此外Trivy 还支持CIS 合规扫描例如检查 EKS 集群是否符合 AWS 官方安全基线内置扫描器位于 pkg/iac/scanners/帮助团队一次性完成合规检查这一繁琐工作 报告输出与集成生态Trivy 的结果不只是终端表格它支持丰富的输出格式方便接入各类平台输出用途--format table终端人类可读默认--format json供程序二次处理--format sarif接入安全平台如 Azure DevOps、GitHub 安全告警--format cyclonedx / spdx生成 SBOM 软件物料清单--format gitlab/junit/html直接对接 CI 报告GitLab 上扫描结果会以 codequality 报告的形式直观展示相关教程见 docs/tutorials/integrations/gitlab-ci.md。模板文件都放在 contrib/ 目录下比如 contrib/html.tpl、contrib/junit.tpl复制后加--template参数即可自定义报告样式。 新手学习路线想学什么去哪里看快速上手docs/getting-started/index.md安装细节docs/getting-started/installation.md各扫描目标指南docs/guide/index.md漏洞扫描原理docs/guide/scanner/vulnerability.md配置项参考docs/guide/references/configuration/常见问题docs/getting-started/faq.md总结为什么 Trivy 值得放进你的工具箱✅一个二进制文件覆盖容器、K8s、代码仓库、虚拟机四类目标✅五合一扫描漏洞、密钥、配置、许可证、SBOM✅零依赖安装brew一行命令即可上手✅报告格式丰富无缝融入现有 CI/CD 流水线。如果你正在寻找一款开箱即用的开源安全扫描工具Trivy 几乎是当下最优解。【免费下载链接】trivyFind vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more项目地址: https://gitcode.com/GitHub_Trending/tr/trivy创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考