【CPack】容器镜像安全实践之Trivy漏洞扫描说明

01

Trivy简介

Trivy是一种适用于CI的简单而全面的容器漏洞扫描程序。软件漏洞是指软件或操作系统中存在的故障、缺陷或弱点。Trivy检测操作系统包(Alpine、RHEL、CentOS等)和应用程序依赖(Bundler、Composer、npm、yamn等)的漏洞。

02

CPack Trivy漏洞扫描

CPack产品中集成Trivy进行docker镜像的安全扫描，对所有镜像进行漏洞扫描，提示漏洞的结果，并设置质量规则，对不安全的镜像禁止使用，确保软件的安全合规。

03

Trivy漏洞库更新

安全漏洞库会不定期更新，如需使用最新的漏洞库，可以手动定期更新。

更新步骤如下：

1

安装oras工具

方式一：通过以下地址下载安装包

https://github.com/oras-project/oras/releases

    tar -zxf oras_1.2.0_linux_amd64.tar.gz
    mv oras /usr/local/bin/
    # 查看版本号
    oras version

参考资料

https://blog.csdn.net/weixin_47055136/article/details/132423901

方式二：通过命令直接下载安装

    VERSION="1.2.0"
    curl -LOhttps://github.com/oras-project/oras/releases/download/v${VERSION}/oras_${VERSION}_linux_amd64.tar.gz"
    mkdir -p oras-install/
    tar -zxf oras_${VERSION}_*.tar.gz -C oras-install/
    sudo mv oras-install/oras /usr/local/bin/
    rm -rf oras_${VERSION}_*.tar.gz oras-install/

参考资料：https://oras.land/docs/installation

2

漏洞库下载

    #漏洞库下载
    oras pull ghcr.io/aquasecurity/trivy-db:2

将db.tar.gz解压获取trivy.db文件，并重命名为trivy.db带版本文件（如trivy-2024-07-24.db），上传至漏洞库管理。

漏洞库：进入系统设置-制品配置-安全设置，漏洞库管理

查看漏洞库的更新描述文件 metadata.json

• Version，漏洞库格式的版本，目前为2

• UpdateAt，本次漏洞库更新时间。(是指漏洞库更新的发布时间，并非本地更新时间)

• NetxUpdate，下次漏洞库更新时间。(官方库默认每6小时更新发布一次)

• DownloadedAt，漏洞库下载时间。

{"Version":2,"NextUpdate":"2024-07-24T06:17:27.641227914Z","UpdatedAt":"2024-07-24T00:17:27.641228184Z","DownloadedAt":"0001-01-01T00:00:00Z"}