Trivy (by Aqua Security)

Descripción

Trivy es un escáner de seguridad todo en uno para contenedores, código, repositorios Git y más. Identifica vulnerabilidades (CVE), secretos expuestos y configuraciones erróneas.

Uso local

# Escanear una imagen Docker
trivy image nginx:latest

# Escanear archivos o repositorios
trivy fs .

# Escanear un repositorio remoto
trivy repo https://github.com/usuario/proyecto

Reportes

• Formatos: JSON, SARIF (para GitHub), tabla, plantillas personalizadas.

• Exportables a sistemas como DefectDojo.

Integración en CI/CD

• Plugins para GitHub Actions, GitLab CI, Jenkins.

• Puede detener el pipeline si encuentra vulnerabilidades críticas.

      - name: Generate Trivy Vulnerability Report
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: "fs"
          output: trivy-report.json
          format: json
          scan-ref: .
          exit-code: 0

Integraciones

• GitHub, GitLab, Bitbucket.

• Slack (via Webhook).

• Jira: se puede automatizar la creación de tickets con scripts + API.

• Plane, Teams: vía Webhooks o bots.

• VSCode: extensión oficial para escaneo local.

• DevSecOps: se puede integrar con DefectDojo, Kubernetes Admission Controllers.

UI

• Tiene una UI web experimental en el proyecto Trivy Dashboard.Dashboard.

• CLI amigable.

Licencia

• Open source (Apache 2.0).

• Puede instalarse localmente o en máquinas virtuales gratis.

Facilidad de uso

• Muy fácil. Documentación clara y CLI muy intuitiva.