trivy

name: trivy description: "Escáner de seguridad integral de Aqua Security: vulnerabilidades, secretos, SBOM, misconfigurations en containers, filesystems, K8s, VMs. 35.6k⭐ Apache-2.0." url: https://github.com/aquasecurity/trivy category: devops fecha: 2026-06-05

Trivy — Escáner de Seguridad Universal

URL

https://github.com/aquasecurity/trivy

Categoría

devops (seguridad / DevSecOps)

¿Qué hace?

Trivy es el escáner de seguridad más versátil del ecosistema open-source. Escanea múltiples targets con múltiples scanners:

Targets (qué puede escanear):

• Container Images
• Filesystem (proyectos locales)
• Git Repositories (remotos)
• Virtual Machine Images
• Kubernetes clusters

Scanners (qué puede encontrar):

• Vulnerabilidades (CVEs) en OS packages y dependencias
• SBOM (Software Bill of Materials)
• Misconfigurations de IaC (Terraform, Dockerfile, K8s manifests)
• Secrets y sensitive information
• Licencias de software

Tecnología: Go, multiplataforma, CLI + Docker + GitHub Actions + VS Code extension + K8s operator.

Casos de uso

1. CI/CD security: Escanear imágenes de container antes de deploy en pipelines
2. Auditoría de proyectos: trivy fs --scanners vuln,secret,misconfig .
3. Kubernetes: trivy k8s --report summary cluster para cluster health
4. SBOM generation: Generar inventario de dependencias para compliance
5. Secret scanning: Detectar API keys, tokens, passwords en código

Snippets útiles

Escanear imagen de container

trivy image python:3.4-alpine

Escanear proyecto local

trivy fs --scanners vuln,secret,misconfig myproject/

Escanear cluster Kubernetes

trivy k8s --report summary cluster

Integración en GitHub Actions

- name: Trivy scan
  uses: aquasecurity/trivy-action@master
  with:
    scan-type: 'fs'
    scanners: 'vuln,secret,misconfig'
    target: '.'

Generar SBOM

trivy image --format json --output sbom.json python:3.4-alpine

Escanear Git repo remoto

trivy repo https://github.com/org/repo --scanners vuln

Cómo integrarlo

• CI/CD: trivy-action en GitHub Actions, GitLab CI, etc.
• Local: brew install trivy o binary directo
• Docker: docker run aquasec/trivy <target> <subject>
• K8s: trivy-operator para escaneo continuo de clusters
• VS Code: extensión para escaneo en editor

Pitfalls

• Canary builds (tags canary) pueden tener bugs críticos — no usar en producción
• El escaneo de filesystem (trivy fs) puede ser lento en proyectos grandes con muchas dependencias
• Para K8s se necesita acceso al cluster (kubeconfig)
• Los resultados de secrets pueden tener falsos positivos (strings que parecen tokens pero no lo son)

Fecha de descubrimiento

2026-06-05 (trending diario + 35.6k⭐)