Trivy

Il s’adresse aussi bien aux développeurs qu’aux équipes chargées de la sécurité des applications, en proposant une solution unique capable d’examiner de nombreux types de ressources sans nécessiter une infrastructure complexe.

Le programme a la capacité à analyser les images de conteneurs, mais son champ d’action va bien au-delà. Trivy peut également examiner des systèmes de fichiers locaux, des dépôts Git distants, des images de machines virtuelles, des clusters Kubernetes ainsi que différents artefacts utilisés dans les chaînes de développement modernes.

L’une de ses principales fonctions consiste à détecter les vulnérabilités connues présentes dans les systèmes d’exploitation, les bibliothèques logicielles et les dépendances utilisées par une application. Lors d’une analyse, Trivy compare les composants identifiés avec des bases de données de sécurité afin de signaler les failles connues susceptibles d’affecter le projet examiné. Les résultats permettent de repérer rapidement les éléments qui nécessitent une mise à jour ou une correction.

Le logiciel ne se limite pas aux vulnérabilités. Il intègre également des mécanismes destinés à détecter les secrets accidentellement exposés dans le code ou les configurations, comme des clés d’API, des mots de passe, des jetons d’authentification ou d’autres informations sensibles.

Trivy est aussi capable d’examiner les infrastructures décrites sous forme de code. Il peut analyser des fichiers de configuration liés aux environnements Cloud, aux conteneurs ou à Kubernetes afin d’identifier des paramètres potentiellement dangereux ou des configurations qui ne respectent pas certaines bonnes pratiques de sécurité.

L’outil s’intègre facilement dans les processus de développement et d’intégration continue. Il peut être utilisé avant la publication d’une application, avant le déploiement d’un conteneur ou dans le cadre d’analyses régulières destinées à surveiller l’évolution de la sécurité d’un projet.