Trivy : à quoi ça sert ? Guide technique DevSecOps 2025

Périmètre fonctionnel de Trivy 2025
────────────────────────────────────
Types de scan (commande "trivy ...")
  image         ─► containers Docker / OCI (local, registry, tarball)
  filesystem    ─► SCA sur un répertoire de code (package managers)
  repository    ─► SCA + secrets + IaC sur un repo Git distant
  kubernetes    ─► scan d'un cluster live (workloads + images)
  rootfs        ─► scan d'un rootfs extrait (Debian package, AMI)
  sbom          ─► génération SBOM CycloneDX / SPDX
  vm            ─► scan d'une image VM (AMI AWS, disk image)
 
Classes détectées par scan
  vuln          ─► vulnérabilités CVE / GHSA / OSV
  misconfig     ─► Terraform, Helm, K8s manifests, Dockerfile, CloudFormation
  secret        ─► AWS keys, tokens, private keys (regexes + contexte)
  license       ─► scan des licences des dépendances
  compliance    ─► CIS Benchmark Kubernetes, DoD STIG, PCI-DSS selected

Trivy — flux interne de scan d'une image
─────────────────────────────────────────
1. trivy image myapp:v1.2.3
 
2. Pull image (depuis registry ou local daemon)
   ─► décomposition en layers
   ─► extraction des métadonnées OS + package managers
 
3. Enumération des packages
   ─► apk (Alpine), dpkg (Debian/Ubuntu), rpm (RHEL/Fedora)
   ─► package.json / yarn.lock / pnpm-lock.yaml (Node)
   ─► Pipfile.lock / requirements.txt / poetry.lock (Python)
   ─► pom.xml / build.gradle (Java)
   ─► go.sum (Go), Gemfile.lock (Ruby), Cargo.lock (Rust), etc.
 
4. Lookup trivy-db
   ─► matching (name, version) sur les sources pertinentes
   ─► application VEX (statement de non-exploitabilité)
   ─► filtrage sévérité et ignored CVE
 
5. Output
   ─► table (terminal), JSON, SARIF, CycloneDX, SPDX, etc.

# macOS (Homebrew)
brew install aquasec/trivy/trivy
 
# Linux (script officiel)
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh \
  | sudo sh -s -- -b /usr/local/bin
 
# Docker (sans install locale)
docker run --rm -v "$(pwd):/scan" aquasec/trivy:latest fs /scan
 
# Version spécifique (important pour CI reproductibles)
docker run --rm aquasec/trivy:0.50.1 --version

# Scan d'une image publique, toutes sévérités
trivy image alpine:3.18
 
# Filtrage sévérité + sortie JSON
trivy image --severity HIGH,CRITICAL --format json --output scan.json nginx:1.25-alpine
 
# Scan de l'image locale Docker, exit code 1 si CVE HIGH ou CRITICAL trouvée
trivy image --severity HIGH,CRITICAL --exit-code 1 myapp:latest
 
# Scan offline (pré-pull de la DB)
trivy --cache-dir /tmp/trivy-cache image --skip-db-update alpine:3.18

# Scan SCA + misconfig + secrets sur le répertoire courant
trivy fs --scanners vuln,misconfig,secret .
 
# Scan ciblé sur les dépendances applicatives uniquement
trivy fs --scanners vuln --ignore-unfixed .
 
# Scan repo Git distant
trivy repo https://github.com/myorg/myrepo

# Build
docker build -t myapi:dev .
 
# Scan pré-push, bloque si CVE critique non-fixable
trivy image \
  --severity CRITICAL \
  --ignore-unfixed \
  --exit-code 1 \
  --format table \
  myapi:dev
 
# Si OK, tag + push
docker tag myapi:dev registry.internal/myapi:v1.2.3
docker push registry.internal/myapi:v1.2.3

# Génération SBOM pour compliance SLSA / CRA / DORA
trivy image --format cyclonedx --output myapi.cdx.json myapi:v1.2.3
 
# Ou au format SPDX
trivy image --format spdx-json --output myapi.spdx.json myapi:v1.2.3
 
# Scan à partir d'un SBOM existant (utile en archive post-build)
trivy sbom myapi.cdx.json

# Fichier .trivyignore pour exclure des CVE non applicables
cat > .trivyignore <<'EOF'
# CVE-2023-12345 — pas applicable, feature désactivée dans notre config
CVE-2023-12345
# CVE-2024-99999 — false positive, confirmé par équipe sécurité 2024-05
CVE-2024-99999
EOF
 
trivy image --severity HIGH,CRITICAL myapi:v1.2.3

# Scan d'un répertoire Terraform
trivy config ./terraform/
 
# Exit code 1 sur misconfig HIGH et plus
trivy config --severity HIGH,CRITICAL --exit-code 1 ./terraform/

# Scan direct d'un chart rendu
helm template mychart ./mychart | trivy config -
 
# Ou via repo-scan
trivy repo --scanners misconfig https://github.com/myorg/helm-charts

# Scan secrets uniquement
trivy fs --scanners secret .
 
# Exemple de détection
# SECRET High - AWS Access Key ID
#   file: ./scripts/deploy.sh:5
#   value: AKIA****************

# .github/workflows/security.yml
name: Security scan
on:
  pull_request:
  push:
    branches: [main]
 
jobs:
  trivy-scan:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      security-events: write  # pour upload SARIF vers GitHub Security
 
    steps:
      - uses: actions/checkout@v4
 
      - name: Build image
        run: docker build -t myapi:${{ github.sha }} .
 
      - name: Run Trivy on image
        uses: aquasecurity/trivy-action@0.28.0
        with:
          image-ref: myapi:${{ github.sha }}
          format: sarif
          output: trivy-results.sarif
          severity: HIGH,CRITICAL
          ignore-unfixed: true
          exit-code: 1  # fail PR si CVE critique détectée
 
      - name: Upload SARIF to GitHub Security
        if: always()
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: trivy-results.sarif
 
      - name: Trivy SCA + misconfig + secret on filesystem
        uses: aquasecurity/trivy-action@0.28.0
        with:
          scan-type: fs
          scanners: vuln,misconfig,secret
          severity: HIGH,CRITICAL
          exit-code: 1

# .gitlab-ci.yml — container scanning intégré
include:
  - template: Security/Container-Scanning.gitlab-ci.yml  # utilise Trivy par défaut
 
container_scanning:
  variables:
    CS_IMAGE: $CI_REGISTRY_IMAGE:$CI_COMMIT_REF_SLUG
    CS_SEVERITY_THRESHOLD: "HIGH"

helm repo add aqua https://aquasecurity.github.io/helm-charts
helm repo update
 
helm install trivy-operator aqua/trivy-operator \
  --namespace trivy-system \
  --create-namespace \
  --version 0.24.2 \
  --set trivy.ignoreUnfixed=true \
  --set trivy.severity="HIGH,CRITICAL"

# Lister les rapports de vulnérabilités
kubectl get vulnerabilityreports -A
 
# Détail d'un workload
kubectl describe vulnerabilityreport -n default deployment-myapi

# Ignorer les CVE non-fixables (pas de patch upstream)
trivy image --ignore-unfixed myapi:v1.2.3
 
# Ignorer des CVE spécifiques via .trivyignore ou --ignorefile
trivy image --ignorefile .trivyignore-app myapi:v1.2.3
 
# Expiration des ignorés (syntaxe YAML depuis v0.40+)
cat > .trivyignore.yaml <<'EOF'
vulnerabilities:
  - id: CVE-2024-12345
    expired_at: 2026-12-31
    reason: "Feature non activée dans notre config, re-review fin 2026"
EOF

# GitHub Actions : cache trivy-db entre builds
- uses: actions/cache@v4
  with:
    path: ~/.cache/trivy
    key: trivy-${{ runner.os }}-${{ hashFiles('.github/trivy-version') }}
 
- uses: aquasecurity/trivy-action@0.28.0
  with:
    cache-dir: ~/.cache/trivy