aquasecurity/trivy

これは何？

主な機能

• 01コンテナイメージ、ファイルシステム、リモートGitリポジトリ、VMイメージ、Kubernetesクラスターをスキャンします。
• 02OSパッケージやソフトウェア依存関係に含まれる既知のCVEを検出します。
• 03IaCの設定ミスや露出したシークレットを検出します。
• 04SBOMを生成し、ソフトウェアライセンスを報告します。
• 05--scannersフラグを使って、実行ごとにスキャナーを選択できます。

ユースケース

• デプロイ前にコンテナイメージの脆弱性をスキャンする。
• CIパイプラインでTerraformやKubernetesのマニフェストに設定ミスがないか確認する。
• Kubernetesクラスター内のリスクの高いワークロードを監査する。
• コードリポジトリにハードコードされたシークレットを検出する。

クイックスタート

1. 1

   HomebrewでTrivyをインストールする

   brew install trivy
2. 2

   またはDockerイメージからTrivyを実行する

   docker run aquasec/trivy
3. 3

   コンテナイメージをスキャンする

   trivy image python:3.4-alpine

使う前に知っておきたいこと

• !mainブランチのCanaryビルドには重大なバグが含まれている可能性があるため、本番環境での使用は推奨されません。

トピック

よくある質問

trivy とは？

Trivyは、コンテナ、ファイルシステム、Gitリポジトリ、VMイメージ、Kubernetesを対象に、脆弱性や設定ミス、シークレット、SBOMを検出するオープンソースのセキュリティスキャナーです。 Trivyは、コンテナイメージ、ファイルシステム、リモートGitリポジトリ、仮想マシンイメージ、Kubernetesクラスターなど、さまざまな対象を検査するセキュリティスキャナーです。各対象について、OSパッケージやアプリケーションの依存関係に含まれる既知のCVEを調べたり、使用中のソフトウェアを一覧にしたSBOMを生成したり、Infrastructure as Codeの設定ミスや露出したシークレットを検出したり、ソフトウェアライセンスを報告したりできます。

trivy は無料で使えますか？ライセンスは？

trivy は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

trivy は今もメンテナンスされていますか？

活発にメンテナンス中。trivy の最終コミットは 2026年10月19日 です。

trivy は何に使えますか？

デプロイ前にコンテナイメージの脆弱性をスキャンする。 CIパイプラインでTerraformやKubernetesのマニフェストに設定ミスがないか確認する。 Kubernetesクラスター内のリスクの高いワークロードを監査する。 コードリポジトリにハードコードされたシークレットを検出する。

trivy のインストール方法は？

HomebrewでTrivyをインストールする: brew install trivy またはDockerイメージからTrivyを実行する: docker run aquasec/trivy コンテナイメージをスキャンする: trivy image python:3.4-alpine

trivy はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/aquasecurity/trivy