关于 performing-container-security-scanning-with-trivy
这是一项使用 Trivy 扫描容器镜像及相关软件制品中的安全与供应链问题的技能。涵盖漏洞和配置检查、SBOM 生成、CI/CD 集成以及扫描结果分类处理。
主要功能
- 01扫描镜像、文件系统、仓库和集群
- 02检测漏洞与暴露的秘密
- 03检查 IaC 和 Kubernetes 配置错误
- 04生成 CycloneDX 与 SPDX SBOM
- 05在 CI/CD 中设置扫描门禁并生成报告
适用场景
- 01在发布前扫描容器镜像
- 02检查 Terraform、Helm 或 Kubernetes 清单
- 03生成 SBOM 以跟踪软件供应链
- 04根据漏洞严重性拦截 CI/CD 构建
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/performing-container-security-scanning-with-trivy确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
使用 Trivy 执行容器安全扫描
概述
Trivy 是 Aqua Security 推出的一款开源安全扫描器，可检测操作系统软件包和特定语言依赖项中的漏洞、基础设施即代码配置错误、泄露的密钥以及软件许可证问题，覆盖容器镜像、文件系统、Git 仓库和 Kubernetes 集群。Trivy 可生成 CycloneDX 和 SPDX 格式的软件物料清单（SBOM），以实现供应链透明度。本技能涵盖全面的容器镜像扫描、CI/CD 流水线集成、Kubernetes Operator 部署，以及面向安全运营的扫描结果分类处理。
何时使用
- 在开展涉及使用 Trivy 执行容器安全扫描的安全评估时
- 在针对相关安全事件遵循事件响应流程时
- 在执行计划内的安全测试或审计活动时
- 在通过动手测试验证安全控制措施时
前提条件
- 已安装 Trivy v0.50+（二进制文件、Docker 或 Homebrew）
- 具备 Docker 守护进程访问权限，用于本地镜像扫描
- 具备容器镜像仓库凭据，用于远程镜像扫描
- 具备 CI/CD 平台（GitHub Actions、GitLab CI、Jenkins），用于流水线集成
- 具备 Kubernetes 集群，用于 Trivy Operator 部署（可选）
步骤
步骤 1：扫描容器镜像
对来自本地构建或远程仓库的容器镜像运行漏洞和密钥扫描。配置严重性阈值并忽略未修复的漏洞。
步骤 2：生成 SBOM
从已扫描的镜像生成 CycloneDX 或 SPDX SBOM 文档，以便在整个软件生命周期中实现供应链合规和漏洞跟踪。
步骤 3：扫描 IaC 和 Kubernetes 清单
使用与 CIS 基准对齐的内置策略检查，检测 Dockerfile、Kubernetes YAML、Terraform 和 Helm chart 中的配置错误。
步骤 4：集成到 CI/CD
将 Trivy 扫描添加为流水线门禁，阻止存在严重/高危漏洞的构建，为 GitHub Advanced Security 生成 SARIF 报告，并为测试仪表盘生成 JUnit XML。
预期输出
JSON/表格报告，列出 CVE 及其严重性、CVSS 评分、修复版本、受影响的软件包、配置错误发现项，以及带有文件位置的泄露密钥。