performing-container-security-scanning-with-trivy

Trivy によるコンテナセキュリティスキャン

概要

Trivy は Aqua Security が提供するオープンソースのセキュリティスキャナーです。コンテナイメージ、ファイルシステム、Git リポジトリ、Kubernetes クラスターを対象に、OS パッケージや言語固有の依存関係の脆弱性、Infrastructure as Code の設定ミス、公開されたシークレット、ソフトウェアライセンスの問題を検出します。Trivy は、サプライチェーンの透明性を確保するため、CycloneDX 形式および SPDX 形式のソフトウェア部品表（SBOM）を生成します。このスキルでは、包括的なコンテナイメージスキャン、CI/CD パイプラインへの統合、Kubernetes Operator のデプロイ、セキュリティ運用向けのスキャン結果のトリアージについて説明します。

使用するタイミング

• Trivy を使用したコンテナセキュリティスキャンを含むセキュリティ評価を実施する場合
• 関連するセキュリティイベントのインシデント対応手順に従う場合
• 定期的なセキュリティテストや監査を実施する場合
• 実地テストを通じてセキュリティ制御を検証する場合

前提条件

• Trivy v0.50+ がインストールされていること（バイナリ、Docker、または Homebrew）
• ローカルのイメージスキャンに必要な Docker デーモンへのアクセス
• リモートイメージスキャンに必要なコンテナレジストリの認証情報
• パイプライン統合に使用する CI/CD プラットフォーム（GitHub Actions、GitLab CI、Jenkins）
• Trivy Operator のデプロイに使用する Kubernetes クラスター（任意）

手順

ステップ 1：コンテナイメージをスキャンする

ローカルビルドまたはリモートレジストリのコンテナイメージに対して、脆弱性とシークレットのスキャンを実行します。重大度のしきい値を設定し、修正されていない脆弱性を無視します。

ステップ 2：SBOM を生成する

スキャンしたイメージから CycloneDX または SPDX の SBOM ドキュメントを生成し、ソフトウェアライフサイクル全体にわたるサプライチェーンのコンプライアンスと脆弱性の追跡に利用します。

ステップ 3：IaC と Kubernetes マニフェストをスキャンする

CIS ベンチマークに準拠した組み込みのポリシーチェックを使用して、Dockerfile、Kubernetes YAML、Terraform、Helm チャートの設定ミスを検出します。

ステップ 4：CI/CD に統合する

重大または高い重大度の脆弱性があるビルドをブロックし、GitHub Advanced Security 用の SARIF レポートを生成し、テストダッシュボード用の JUnit XML を出力するパイプラインゲートとして、Trivy のスキャンを追加します。

想定される出力

重大度、CVSS スコア、修正済みバージョン、影響を受けるパッケージ、設定ミスの検出結果、ファイル内の場所を含む公開されたシークレットを一覧表示する JSON／テーブル形式のレポートです。