セキュリティツールの評価は難しい - knqyf263's blog
前から思ってたことをちょっと書かずにいられなくなったのでポエムを書きました。 背景 問題 検知している方が正しいように見えがち 条件を揃えるのが難しい 環境の再現が難しい 検知数が多い方が良さそうに見える 正解かどうかの判断が難しい カバー範囲の正確な見極めが難しい 検知されないほうが嬉しい まとめ 背景 お前誰だよってなるかもしれないので書いておくと、Trivyという脆弱性スキャナーのメンテナをやっています。 github.com とある有名な方による以下のツイートがありました。 I just discovered, during @cloudflare #SecurityWeek no less, that Trivy (the vuln scanner) doesn't detect known issues in Alpine images. Including a critica
Goバイナリの脆弱性検知 - knqyf263's blog
Trivyのv0.17.0をリリースしました。 github.com 長い道のりでしたが、ようやくこれでGoバイナリの脆弱性検知に対応できました。夜中0時ぐらいからリリース作業を初めて気付いたら朝5時でした。 概要 Go言語で書かれたプログラムをビルドすると依存しているモジュールがバイナリに含まれます。現代のソフトウェア開発において利用しているOSSのライブラリが0ということはまれなので、何かしらのOSSライブラリが作成されたバイナリに同梱されます。これらのOSSの古いバージョンには既知の脆弱性が含まれる可能性があります。これを手動で調べて追うのは手間なので最近では脆弱性スキャナを用いて検知するのが普通です。自分が開発したTrivyというOSSの脆弱性スキャナではコンテナイメージやファイルシステム上のGoバイナリに含まれるモジュールを特定し脆弱性を検知します。 Goのバイナリからどうやって
DockerfileでPoetryを使用して依存関係パッケージをインストールする - Qiita
この記事はZeals Advent Calendar2020の3日目の記事です。見ていただきありがとうございます！ 今回はPipenvの代替やら色々言われているPoetryをDocker上で使用する方法を書いていきます。 また、この記事はほとんど公式ドキュメントやGithubリポジトリのissueを参考にしています。正確な情報を知りたいのであれば、ぜひ公式ドキュメントを読んでみてください。 https://python-poetry.org/ 記事を書いたときの動作環境 MacOS Big Sur 11.0.1 Docker for Mac 2.5.0.1 この記事の流れ 今回はこのような流れで開発していきます。 Poetryのインストール方法 Poetryの設定 Poetryの環境を作成 pyproject.tomlへのパッケージ追加 DockerFileを書く Poetryのインストー
GitHub - aquasecurity/trivy: Find vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more
Trivy (pronunciation) is a comprehensive and versatile security scanner. Trivy has scanners that look for security issues, and targets where it can find those issues. Targets (what Trivy can scan): Container Image Filesystem Git Repository (remote) Virtual Machine Image Kubernetes AWS Scanners (what Trivy can find there): OS packages and software dependencies in use (SBOM) Known vulnerabilities (C
フロントエンドでもTrivyを使って脆弱性対策したい！ - Qiita
伝えたいこと フロントエンドもコンテナ経由でアクセスさせよう コンテナならTrivyを使ってヤバそうな脆弱性を知ることができる TrivyならCIに組み込むことも簡単 multi-stage buildの場合は工夫が必要 いまの状況でできる範囲の脆弱性対策からはじめよう 今回の記事でできること CI上で、本番用のフロントエンドのコンテナをmulti-satge buildでつくり、 Trivyを利用して脆弱性を検知するところまでを目指します。 最後に、Trivyを利用したレベル別の運用イメージも提案します。 導入 週末、Trivyというコンテナ向けの脆弱性検知ツールが正式リリースされました。公開が5日目の5/21 12:00時点で 900star以上獲得しています。 Trivyの詳細は原作者である @knqyf263 さんの｢CIで使えるコンテナの脆弱性スキャナ｣という記事を参照ください。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - m-mizutani/octovy: Trivy based vulnerability management service
