Trivy SCA

Définition

Trivy est un scanner de sécurité open source polyvalent développé par Aqua Security, couvrant plusieurs domaines : scan de vulnérabilités de containers (SCA pour les images Docker), scan d'Infrastructure as Code (IaC — Terraform, Kubernetes, CloudFormation), détection de secrets, et scan de conformité (CIS Benchmarks). Dans son utilisation SCA spécifiquement, Trivy analyse les composants d'un projet ou d'une image pour identifier les vulnérabilités connues dans les dépendances, similairement à Grype ou Snyk mais avec une approche multimodale couvrant plus de surfaces. Trivy SCA supporte l'analyse de dépendances pour de nombreux écosystèmes : npm, yarn, pip, Poetry, Maven, Gradle, Composer (PHP), Gemfile, Go modules, Cargo (Rust), NuGet, et Swift. Pour les images Docker, Trivy analyse les packages système (dpkg, RPM, apk) et les packages applicatifs (pip, npm, jar, gem) en une seule commande. Cette capacité à analyser simultanément les packages système et les dépendances applicatifs dans une image est une des forces distinctives de Trivy. Les sources de vulnérabilités utilisées par Trivy incluent : NVD, GitHub Advisory Database (GHSA), OSS Index, Red Hat CVE Database, Ubuntu Security Notices, Debian Security Tracker, Alpine SecDB, et des bases spécifiques à d'autres distributions. Trivy maintient une base de données locale mise à jour automatiquement (trivy db update) pour fonctionner hors-ligne dans les environnements air-gapped. L'intégration de Trivy dans les pipelines CI est particulièrement simple grâce à son installation légère (binaire unique), son large support de formats d'output (table, JSON, SARIF, CycloneDX, SPDX), et la disponibilité d'une GitHub Action officielle (aquasecurity/trivy-action). La combinaison Trivy container scan + IaC scan dans un seul outil réduit le nombre d'outils à intégrer et maintenir dans la chaîne DevSecOps.