Trivy (by Aqua Security)

Descripción

Trivy es un escáner de seguridad todo en uno para contenedores, código, repositorios Git y más. Identifica vulnerabilidades (CVE), secretos expuestos y configuraciones erróneas.

Uso local

# Escanear una imagen Docker
trivy image nginx:latest

# Escanear archivos o repositorios
trivy fs .

# Escanear un repositorio remoto
trivy repo https://github.com/usuario/proyecto

Reportes

Formatos: JSON, SARIF (para GitHub), tabla, plantillas personalizadas.

Exportables a sistemas como DefectDojo.

Integración en CI/CD

Plugins para GitHub Actions, GitLab CI, Jenkins.

Puede detener el pipeline si encuentra vulnerabilidades críticas.

      - name: Generate Trivy Vulnerability Report
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: "fs"
          output: trivy-report.json
          format: json
          scan-ref: .
          exit-code: 0

Integraciones

GitHub, GitLab, Bitbucket.

Slack (via Webhook).

Jira: se puede automatizar la creación de tickets con scripts + API.

Plane, Teams: vía Webhooks o bots.

VSCode: extensión oficial para escaneo local.

DevSecOps: se puede integrar con DefectDojo, Kubernetes Admission Controllers.

UI

Tiene una UI web experimental en el proyecto Trivy Dashboard.

CLI amigable.

Licencia

Open source (Apache 2.0).

Puede instalarse localmente o en máquinas virtuales gratis.