2022/08/26の勉強会で発表されたものです。

1. Trivyを用いた脆弱性検出

2. はじめに
脆弱性があるかどうかについては公式サイトなどを見て確認する必要があるが、定
また、脆弱性を放置したままの状態だとサイバー攻撃を受けるリスクがある為、早
そこでtrivyの登場である。

3. trivyとは
• OSS製品
• コンテナイメージ、ファイルシステム、Gitリポジトリをス
キャンして脆弱性があるかどうかを確認する
• CIに組み込むことも可能
• 以下のSWに対応
• OSのパッケージマネージャーで管理しているSW
• 各種言語の依存ライブラリで管理しているソフトウェア

4. 対応しているOS
• Alpine
• CentOS
• Red Hat EnterPrise Linux
• Amazon Linux
• Ubuntu
• その他

5. 対応している依存ライブラリ
• Python
• Pipfile.lock
• propetry.lock
• requirements.txt
• PHP
• composer.lock
• Java
• JAR/WAR/PAR/EAR
• pom.xml
• Node.js
• package-lock.json
• yarn.lock
詳細は以下を参照
https://aquasecurity.github.io/trivy/v0.29.1/docs/vulnerability/detection/language
/#fn:4

6. Trivyのインストール手順
今回はCentOS上にtrivyをインストールする方法を紹介する。
1./etc/yum.repos.d/trivy.repoにリポジトリファイルを作成
[trivy]
name=Trivy repository
baseurl=https://aquasecurity.github.io/trivy-
repo/rpm/releases/$releasever/$basearch/
gpgcheck=0
enabled=1
enabled=1
2.Trivyをインストールする
$yum update
$sudo yum -y install trivy

7. Docker イメージの準備
今回はtrivyをインストールしたcentos上にdocker imageをpullする。
pullする前にdockerとdocker composeをインストールする必要がある。
$docker pull drupal:9.0.5

8. Trivyでスキャン実施
Trivyでスキャンを実施する
初回実施時は脆弱性情報をDBから取得する為遅くなる
$trivy image drupal9.0.5

9. スキャン結果
スキャン結果は標準出力にテーブルで出力される。

10. スキャン結果
composerで管理しているパッケージの脆弱性も確認することが可能

11. 参考サイト
・https://aquasecurity.github.io/trivy/v0.31.2/
・https://tarenagashi.hatenablog.jp/entry/2020/11/23/001302