Trivy 容器与 IaC 漏洞扫描器

要解决的问题

容器镜像和基础设施即代码（IaC）模板中的漏洞是现代云原生安全的核心隐患。传统工具往往将镜像扫描与IaC配置检查割裂，导致团队需要在多个平台间切换，难以形成统一的风险视图。更棘手的是，即使发现漏洞，修复优先级和具体方案常因缺乏上下文而难以落地。

核心能力与工作方式

• 多目标统一扫描：支持对容器镜像（如alpine:3.18）、本地文件系统路径（如./project）及Terraform/CloudFormation模板（如main.tf）执行Trivy扫描，覆盖运行时与配置层风险。
• 漏洞矩阵生成：自动聚合扫描结果，按CVSS评分排序漏洞，并标注修复版本建议，例如CVE-2023-XXXX: 修复于openssl-1.1.1k。
• 上下文增强分析：结合Trivy的漏洞数据库（VEX）与官方补丁信息，过滤误报并提供可操作的修复路径，避免“全修”或“全不修”的极端决策。

适用边界与注意点

• 扫描深度依赖Trivy规则库的更新频率，建议定期同步最新漏洞数据以覆盖零日漏洞。
• 对复杂IaC模板（如嵌套模块或动态生成的资源）可能存在扫描盲区，需结合人工审计验证。
• 修复建议基于公开漏洞库，特定环境（如定制化基础镜像）需二次验证兼容性。