trivy漏洞扫描

以centos安装为例

#下载rpm包
wget https://github.com/aquasecurity/trivy/releases/download/v0.57.1/trivy_0.57.1_Linux-64bit.rpm
#安装
rpm -ivh trivy_0.57.1_Linux-64bit.rpm
#安装校验
trivy --version
#扫描文件系统
sudo trivy filesystem /
#扫描容器镜像
sudo trivy image nginx:latest

国内环境需要指定ghcr镜像 nju或者daocloud都可以

sudo trivy filesystem / --db-repository ghcr.nju.edu.cn/aquasecurity/trivy-db:2 --java-db-repository ghcr.nju.edu.cn/aquasecurity/trivy-java-db:1
sudo trivy filesystem / --db-repository ghcr.m.daocloud.io/aquasecurity/trivy-db:2 --java-db-repository ghcr.nju.edu.cn/aquasecurity/trivy-java-db:1

如果只扫描漏洞 加--scanners vuln

sudo trivy filesystem / --db-repository ghcr.m.daocloud.io/aquasecurity/trivy-db:2 --java-db-repository ghcr.nju.edu.cn/aquasecurity/trivy-java-db:1 --scanners vuln

导出漏洞扫描为sarif格式 加 --format sarif --output trivy-report.sarif

sudo trivy filesystem / --db-repository ghcr.m.daocloud.io/aquasecurity/trivy-db:2 --java-db-repository ghcr.nju.edu.cn/aquasecurity/trivy-java-db:1 --scanners vuln --format sarif --output trivy-report.sarif

可在vscode中安装sarif view插件查看
在线查看 https://sarif.netlify.app/

常见目录
缓存目录
/root/.cache/trivy

上面的配置镜像也使用下面的配置文件trivy.yaml进行配置

trivy.yaml内容如下

# trivy.yaml
cache:
  dir: /root/.cache/trivy
  ttl: 24h

# 镜像配置
db:
  download-java-only: false
  download-only: false
  java-repository:
    - ghcr.m.daocloud.io/aquasecurity/trivy-java-db:1
    - ghcr.nju.edu.cn/aquasecurity/trivy-java-db:1
    - mirror.gcr.io/aquasec/trivy-java-db:1
    - ghcr.io/aquasecurity/trivy-java-db:1
  java-skip-update: false
  light: false
  no-progress: fa