Repolode
Enviar
aquasecurity

aquasecurity/trivy

Trivy é um scanner de segurança de código aberto que encontra vulnerabilidades, configurações incorretas, secrets e dados de SBOM em contêineres, sistemas de arquivos, repositórios Git, imagens de VM e Kubernetes.

Alternativa open source a:SnykPrisma Cloud

Ver no GitHubSite
Estrelas
38,514
Forks
774
Issues abertas
271
Último commit
há 19 horas

O que é?

Trivy é um scanner de segurança que verifica vários tipos de alvo: imagens de contêiner, sistemas de arquivos, repositórios Git remotos, imagens de máquinas virtuais e clusters Kubernetes. Em cada alvo, ele pode procurar CVEs conhecidas em pacotes do sistema operacional e dependências de aplicações, gerar um SBOM com a lista dos softwares em uso, detectar configurações incorretas de infraestrutura como código, encontrar secrets expostos e informar as licenças dos softwares.

O uso segue um padrão simples: um subcomando para o alvo, como image, fs ou k8s, um conjunto de scanners selecionados com --scanners e o objeto a ser verificado. Os resultados podem ser exibidos em vários formatos de relatório, e a ferramenta é distribuída como binário único, imagem Docker e por meio de gerenciadores de pacotes comuns.

Trivy é mantido pela Aqua Security e se integra a sistemas de CI, como GitHub Actions, além de oferecer um operador Kubernetes e uma extensão para VS Code.

Recursos principais

  • 01Verifica imagens de contêiner, sistemas de arquivos, repositórios Git remotos, imagens de VM e clusters Kubernetes.
  • 02Detecta CVEs conhecidas em pacotes do sistema operacional e dependências de software.
  • 03Encontra configurações incorretas de IaC e secrets expostos.
  • 04Gera saída SBOM e informa as licenças dos softwares.
  • 05Seleciona os scanners por execução usando a flag --scanners.

Casos de uso

  • Verificar imagens de contêiner em busca de vulnerabilidades antes de implantá-las.
  • Verificar configurações incorretas em manifests do Terraform ou Kubernetes em pipelines de CI.
  • Auditar um cluster Kubernetes em busca de workloads arriscados.
  • Detectar secrets codificados diretamente em um repositório de código.

Início rápido

  1. 1

    Instale o Trivy com o Homebrew

    brew install trivy
  2. 2

    Ou execute o Trivy a partir da imagem do Docker

    docker run aquasec/trivy
  3. 3

    Faça a varredura de uma imagem de contêiner

    trivy image python:3.4-alpine

Antes de usar

  • As compilações Canary da branch main podem conter bugs críticos e não são recomendadas para produção.

Tópicos

#security#vulnerability-scanner#containers#kubernetes#iac#sbom#devsecops#docker#go#golang

Perguntas frequentes

O que é trivy?
Trivy é um scanner de segurança de código aberto que encontra vulnerabilidades, configurações incorretas, secrets e dados de SBOM em contêineres, sistemas de arquivos, repositórios Git, imagens de VM e Kubernetes. Trivy é um scanner de segurança que verifica vários tipos de alvo: imagens de contêiner, sistemas de arquivos, repositórios Git remotos, imagens de máquinas virtuais e clusters Kubernetes. Em cada alvo, ele pode procurar CVEs conhecidas em pacotes do sistema operacional e dependências de aplicações, gerar um SBOM com a lista dos softwares em uso, detectar configurações incorretas de infraestrutura como código, encontrar secrets expostos e informar as licenças dos softwares.
trivy é gratuito? Qual é a licença?
trivy é open source sob a licença Apache-2.0. Confira os termos da licença antes de usá-lo em produtos comerciais.
trivy ainda é mantido?
Manutenção ativa. O último commit de trivy foi em 19 de out. de 2026.
Para que posso usar trivy?
Verificar imagens de contêiner em busca de vulnerabilidades antes de implantá-las. Verificar configurações incorretas em manifests do Terraform ou Kubernetes em pipelines de CI. Auditar um cluster Kubernetes em busca de workloads arriscados. Detectar secrets codificados diretamente em um repositório de código.
Como instalar trivy?
Instale o Trivy com o Homebrew: brew install trivy Ou execute o Trivy a partir da imagem do Docker: docker run aquasec/trivy Faça a varredura de uma imagem de contêiner: trivy image python:3.4-alpine
Onde consigo trivy?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/aquasecurity/trivy

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados