aquasecurity/trivy

Что это?

Ключевые возможности

• 01Сканирует образы контейнеров, файловые системы, удалённые Git-репозитории, образы VM и кластеры Kubernetes.
• 02Выявляет известные CVE в пакетах ОС и программных зависимостях.
• 03Находит ошибки конфигурации IaC и раскрытые секреты.
• 04Формирует SBOM и составляет отчёты о лицензиях ПО.
• 05Позволяет выбирать сканеры для каждого запуска с помощью флага --scanners.

Сценарии использования

• Сканирование образов контейнеров на уязвимости перед развёртыванием.
• Проверка манифестов Terraform или Kubernetes на ошибки конфигурации в CI-пайплайнах.
• Аудит кластера Kubernetes на наличие небезопасных рабочих нагрузок.
• Поиск секретов, жёстко заданных в коде репозитория.

Быстрый старт

1. 1

   Установите Trivy с помощью Homebrew

   brew install trivy
2. 2

   Или запустите Trivy из Docker-образа

   docker run aquasec/trivy
3. 3

   Просканируйте образ контейнера

   trivy image python:3.4-alpine

Что важно знать

• !Canary-сборки из ветки main могут содержать критические ошибки и не рекомендуются для использования в production.

Темы

Частые вопросы

Что такое trivy?

Trivy — сканер безопасности с открытым исходным кодом, который выявляет уязвимости, ошибки конфигурации, секреты и данные SBOM в контейнерах, файловых системах, Git-репозиториях, образах VM и Kubernetes. Trivy — сканер безопасности для разных целей: образов контейнеров, файловых систем, удалённых Git-репозиториев, образов виртуальных машин и кластеров Kubernetes. Для каждой цели он может искать известные CVE в пакетах ОС и зависимостях приложений, формировать SBOM со списком используемого ПО, выявлять ошибки конфигурации в IaC, находить раскрытые секреты и составлять отчёты о лицензиях ПО.

trivy можно использовать бесплатно? Какая у него лицензия?

trivy распространяется с открытым исходным кодом под лицензией Apache-2.0. Перед использованием в коммерческих продуктах проверьте условия лицензии.

trivy всё ещё поддерживается?

Активно поддерживается. Последний коммит в trivy — 19 окт. 2026 г..

Для чего можно использовать trivy?

Сканирование образов контейнеров на уязвимости перед развёртыванием. Проверка манифестов Terraform или Kubernetes на ошибки конфигурации в CI-пайплайнах. Аудит кластера Kubernetes на наличие небезопасных рабочих нагрузок. Поиск секретов, жёстко заданных в коде репозитория.

Как установить trivy?

Установите Trivy с помощью Homebrew: brew install trivy Или запустите Trivy из Docker-образа: docker run aquasec/trivy Просканируйте образ контейнера: trivy image python:3.4-alpine

Где скачать trivy?

Исходный код и инструкции по установке — на GitHub: https://github.com/aquasecurity/trivy