Vượt xa quét container: Tại sao Trivy của Aqua Security là công cụ DevSecOps vạn năng

Tổng quan / Giới thiệu

Trong kỷ nguyên triển khai cloud-native nhanh chóng, bảo mật không còn là một bước suy nghĩ muộn màng sau khi phát triển. Xu hướng bảo mật "shift-left" đòi hỏi các lập trình viên phải quét các lỗ hổng, lỗi cấu hình sai và rò rỉ mã bí mật (secrets) từ rất lâu trước khi mã nguồn được đưa lên môi trường production. Tuy nhiên, việc sử dụng các công cụ riêng biệt để quét container, linting Infrastructure as Code (IaC), phát hiện secrets và tạo Software Bill of Materials (SBOM) gây ra tình trạng phân mảnh công cụ và làm phình to pipeline CI/CD.

Đó là lúc Trivy (phát triển bởi Aqua Security) xuất hiện. Được viết bằng Go, Trivy đã vươn lên trở thành công cụ quét bảo mật mã nguồn mở tiêu biểu nhất. Nó hợp nhất nhiều mô hình quét bảo mật vào một CLI duy nhất, cực nhanh và có độ tin cậy cao. Trivy đang thịnh hành vì giải quyết được bài toán phân mảnh của DevSecOps hiện đại, cung cấp khả năng quét tức thì với cấu hình bằng không, sở hữu cơ sở dữ liệu lỗ hổng khổng lồ và tích hợp liền mạch vào các container registry lẫn công cụ CI/CD.

Các tính năng chính

• Quét đa mục tiêu (Tất cả trong một): Trivy không chỉ quét các container image. Nó còn quét các hệ thống tệp cục bộ, kho lưu trữ Git, máy ảo, các cụm Kubernetes và tài nguyên đám mây (như AWS).
• Phát hiện lỗ hổng toàn diện: Phát hiện các lỗ hổng bảo mật (CVE) trong cả gói hệ điều hành (Alpine, RedHat, Ubuntu, v.v.) và các trình quản lý thư viện ứng dụng (npm, pip, Go modules, Cargo, Maven, v.v.).
• Phân tích cấu hình lỗi IaC: Hỗ trợ sẵn sàng cho việc quét Terraform, CloudFormation, Dockerfile, Kubernetes manifests và Helm charts để ngăn chặn sai sót khi triển khai cấu hình.
• Quét Secrets và thông tin nhạy cảm: Các thuật toán tích hợp sẵn giúp rà quét lịch sử mã nguồn để phát hiện API keys, tokens, khóa riêng tư (private keys) và chứng chỉ bị hardcode.
• Hỗ trợ SBOM hàng đầu: Dễ dàng tạo và quét Danh mục vật tư phần mềm (SBOM) theo các định dạng tiêu chuẩn công nghiệp như CycloneDX và SPDX.
• Cực nhanh và nhẹ: Được tối ưu hóa bằng ngôn ngữ Go, Trivy biên dịch thành một file thực thi duy nhất không có phụ thuộc bên ngoài. Cơ chế tải dữ liệu bảo mật theo yêu cầu và lưu bộ nhớ đệm thông minh giúp tối ưu thời gian chạy pipeline.

Bắt đầu / Ví dụ mã nguồn

Bắt đầu với Trivy vô cùng đơn giản. Bạn có thể cài đặt thông qua các trình quản lý gói trên Linux, macOS và Windows.

Cài đặt

Trên macOS (sử dụng Homebrew):

brew install aquasecurity/trivy/trivy

Trên Debian/Ubuntu:

sudo apt-get install wget apt-transport-https gnupg lsb-release
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | gpg --dearmor | sudo tee /usr/share/keyrings/trivy.gpg > /dev/null
echo "deb [signed-by=/usr/share/keyrings/trivy.gpg] https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main" | sudo tee /etc/apt/sources.list.d/trivy.list
sudo apt-get update
sudo apt-get install trivy

Ví dụ sử dụng thực tế

1. Quét lỗ hổng bảo mật của một Container Image

trivy image --severity HIGH,CRITICAL node:18-alpine

2. Quét thư mục cục bộ để tìm lỗi cấu hình sai & Secrets

trivy fs --scanners vuln,misconfig,secret ./thu-muc-du-an-cua-toi

3. Tạo SBOM định dạng CycloneDX từ một Image

trivy image --format cyclonedx --output sbom.json alpine:latest

4. Tích hợp Trivy vào một quy trình GitHub Actions Pipeline

name: security-scan
on: [push]
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v3

      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'docker.io/my-organization/my-app:${{ github.sha }}'
          format: 'table'
          exit-code: '1'
          ignore-unfixed: true
          severity: 'CRITICAL,HIGH'

Các trường hợp sử dụng & Đối tượng hướng đến

• Kỹ sư DevSecOps: Tự động hóa các tiêu chuẩn tuân thủ và kiểm tra lỗ hổng trong các pipeline CI/CD như Jenkins, GitHub Actions, GitLab CI.
• Kiến trúc sư Container & Cloud: Kiểm duyệt các file cấu hình Kubernetes và AWS để đảm bảo an toàn kiến trúc trước khi triển khai.
• Lập trình viên phần mềm: Quét cục bộ repo chứa mã nguồn để loại bỏ các rủi ro bảo mật thư viện trước khi push code lên nhánh chính.
• Chuyên viên tuân thủ bảo mật: Chuẩn hóa việc xuất báo cáo SBOM để đáp ứng các quy định nghiêm ngặt về chuỗi cung ứng phần mềm hiện đại.

Tại sao dự án này quan trọng

Trivy định nghĩa lại tiêu chuẩn của công cụ bảo mật mã nguồn mở cho DevSecOps. Thay vì duy trì một tập hợp phức tạp gồm nhiều công cụ quét rời rạc, các nhóm phát triển có thể triển khai Trivy để giải quyết đồng thời việc bảo vệ container, mã nguồn, cấu hình và secrets. Bằng cách giảm thiểu rào cản tiếp cận với các kết quả tức thì và định dạng đầu ra phong phú (JSON, SARIF), Trivy giúp việc lập trình an toàn trở thành thói quen hiển nhiên trong chu trình phát triển.