Trivy

Trivy es un escáner de seguridad integral de Aqua Security que revisa una amplia variedad de objetivos —imágenes de contenedores, sistemas de archivos, repositorios Git remotos, imágenes de máquinas virtuales y clústeres de Kubernetes en ejecución— en busca de problemas de seguridad con una sola herramienta, en lugar de usar escáneres distintos para cada aspecto. Sus escáneres cubren vulnerabilidades conocidas (CVE) en paquetes del sistema operativo y dependencias de aplicaciones, configuraciones incorrectas de infraestructura como código, secretos incrustados en el código y problemas de licencias de software, y puede generar una lista de materiales de software (SBOM) para el objetivo analizado.

Suele ejecutarse como CLI en local, como imagen de contenedor, o integrarse en pipelines de CI como una puerta de seguridad que hace fallar la build cuando encuentra una vulnerabilidad por encima de un umbral de severidad elegido; su amplia cobertura de lenguajes y plataformas hace que la mayoría de los stacks estén soportados sin plugins adicionales.

Trivy encaja en equipos que quieren un único escáner rápido que cubra vulnerabilidades, configuraciones incorrectas y secretos en toda su cadena de suministro de software, complementando a Open Policy Agent (también en este catálogo), que aplica políticas de cara al futuro, mientras que Trivy encuentra lo que ya está mal en las imágenes, el código y la infraestructura existentes.