Trivy
Trivy ist ein quelloffener Sicherheitsscanner, der Container-Images, Code-Repositories, Infrastruktur-Konfigurationen und Dateisysteme auf bekannte Schwachstellen, Fehlkonfigurationen und versehentlich eingebettete Secrets überprüft.
Ausführliche Erklärung
Trivy wurde von Aqua Security als Open-Source-Tool entwickelt und hat sich zu einem der meistgenutzten Sicherheitsscanner für containerisierte Anwendungen entwickelt. Das Tool analysiert verschiedene Ziele wie Docker-Images, Kubernetes-Manifeste, Terraform-Dateien und Git-Repositories auf Sicherheitsprobleme. Dabei gleicht Trivy installierte Pakete und Bibliotheken mit umfassenden Schwachstellendatenbanken ab, die CVE-Einträge, Red Hat Security Data und weitere Quellen umfassen.
Der besondere Vorteil von Trivy für KMU liegt in seiner einfachen Integration ohne komplexe Voraussetzungen. Das Tool wird als einzelne ausführbare Datei ausgeliefert, benötigt keine separate Datenbank und lädt seine Schwachstellendatenbank automatisch herunter. Scans werden innerhalb von Sekunden durchgeführt, und die Ergebnisse zeigen direkt die Schweregrade von gefundenen Problemen sowie verfügbare Fixes an. Damit eignet sich Trivy besonders für kleine und mittlere Unternehmen, die Container-basierte Deployment-Strategien verfolgen und Self-hosted-Lösungen betreiben.
Für den produktiven Einsatz lässt sich Trivy nahtlos in CI/CD-Pipelines integrieren. Es existieren fertige Plugins für GitHub Actions, GitLab CI, Azure DevOps, Jenkins und weitere Plattformen. Unternehmen können damit automatisierte Sicherheitsprüfungen als Quality Gates einrichten, die Builds bei kritischen Schwachstellen automatisch stoppen. Die Scan-Ergebnisse können in verschiedenen Formaten exportiert werden, etwa als SARIF für GitHub Code Scanning oder ASFF für AWS Security Hub.
Trivy deckt mehrere Scan-Bereiche ab: Neben Schwachstellen in OS-Paketen und Anwendungs-Dependencies erkennt es auch Fehlkonfigurationen in Infrastructure-as-Code-Dateien, aufgespürte Secrets wie API-Keys oder Passwörter sowie Lizenzprobleme bei verwendeten Bibliotheken. Die Datenbank wird alle sechs Stunden aktualisiert, sodass aktuelle Bedrohungen zeitnah erkannt werden können.
Praxisbeispiel
Eine österreichische IT-Beratung mit 25 Mitarbeitern betreibt mehrere Kundenanwendungen in selbst gehosteten Docker-Containern. Das Unternehmen integriert Trivy in seine GitLab-CI-Pipeline: Vor jedem Deployment wird das neu gebaute Container-Image automatisch gescannt. Werden Schwachstellen mit Schweregrad CRITICAL oder HIGH gefunden, stoppt der Build-Prozess, und das Entwicklerteam erhält einen detaillierten Report mit betroffenen Paketen und verfügbaren Updates. So wird verhindert, dass verwundbare Container in Produktion gelangen, ohne dass zusätzliches Security-Personal benötigt wird.
Code-Beispiel
#!/bin/bash
# Trivy-Scan eines Docker-Images mit Exit-Code
# Pipeline schlägt fehl bei HIGH/CRITICAL-Schwachstellen
trivy image \
--severity HIGH,CRITICAL \
--exit-code 1 \
--no-progress \
myapp:latest
# Scan mit Ausgabe als JSON für weitere Verarbeitung
trivy image \
--format json \
--output scan-results.json \
myapp:latest