ट्रिवी गिटलैब सीआई घटक

ट्रिवी के लिए एक गिटलैब CI घटक — एक ऑल-इन-वन सुरक्षा स्कैनर जो कंटेनर इमेज, फाइलसिस्टम, रिपॉजिटरी, कुबरनेट्स क्लस्टर, SBOM और लाइसेंस अनुपालन को कवर करता है। इन टेम्प्लेट को सीधे अपने पाइपलाइन में प्लग करें और लगभग बिना किसी शेल स्क्रिप्टिंग के दोहराए जाने योग्य स्कैन, गिटलैब-मूल रिपोर्ट और पोर्टेबल आर्टिफैक्ट प्राप्त करें।

विशेषताएँ

• पूर्ण सतह कवरेज: कंटेनर, फाइलसिस्टम, रूट फाइलसिस्टम, Git रिपॉजिटरी, VM, SBOM, कुबरनेट्स क्लस्टर, और बहुत कुछ।
• एकाधिक स्कैनर: प्रति-नौकरी नियंत्रण के साथ भेद्यता, गलत कॉन्फ़िगरेशन/IaC, गुप्त और लाइसेंस स्कैनिंग।
• गिटलैब रिपोर्ट: कंटेनर स्कैनिंग, JUnit, SARIF और JSON आर्टिफैक्ट उत्सर्जित करता है जो मर्ज-अनुरोध अंतर्दृष्टि के लिए तैयार हैं।
• अनुकूलन योग्य इनपुट: प्रत्येक टेम्पलेट गंभीरता, स्कैनर, टाइमआउट, पैकेज प्रकार और आर्टिफैक्ट के लिए नॉब प्रदान करता है।
• संयोजनीय टेम्पलेट: एक घटक नामस्थान से दूरस्थ या स्थानीय स्कैन, SBOM वर्कफ़्लो, रेकॉर प्रमाणन और IaC जाँचें मिलाएँ।

उपयोग

मूल उपयोग

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest

stages:
  - test

कस्टम गंभीरता के साथ दूरस्थ इमेज

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:remote"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/app:latest"
      severity: "CRITICAL,HIGH,MEDIUM"
      exit_on_vulnerability: true

stages:
  - test

स्थानीय टार / OCI लेआउट स्कैन

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:local"
      TRIVY_SCAN_LOCAL_IMAGES: "dist/"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: false

stages:
  - test

घटक इनपुट और टेम्पलेट

नीचे प्रत्येक टेम्पलेट घटक विनिर्देश में परिभाषित अपने उपलब्ध इनपुट और डिफ़ॉल्ट को सूचीबद्ध करता है, इसके बाद एक न्यूनतम कार्यशील उदाहरण दिया गया है।

घटक: templates/main.yml

इनपुट	विवरण	डिफ़ॉल्ट
job_name	CI नौकरी का नाम	"trivy scanning"
stage	पाइपलाइन चरण	"test"
image	Trivy चलाने वाली कंटेनर इमेज	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_NEEDED_STAGE	वह चरण जो Trivy चलने से पहले पूरा होना चाहिए	"build"
TRIVY_SCAN_REMOTE_IMAGE	स्कैन करने के लिए दूरस्थ इमेज	""
TRIVY_SCAN_LOCAL_IMAGES	tar/OCI इनपुट का पथ (खाली होने पर . खोजता है)	""
TRIVY_SCANNERS	अल्पविराम से अलग किए गए स्कैनर	"vuln,secret,misconfig"
severity	शामिल करने के लिए गंभीरताएँ	"CRITICAL,HIGH"
exit_on_vulnerability	समस्याएँ मिलने पर नौकरी विफल करें	true
TRIVY_EXTRA_ARGS	अतिरिक्त CLI फ़्लैग	""
allow_failure	पाइपलाइन विफल किए बिना नौकरी विफलता की अनुमति दें	false

उदाहरण

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "trivy:basic"
      TRIVY_SCAN_REMOTE_IMAGE: "nginx:latest"

घटक: templates/target_container.yml

इनपुट	विवरण	डिफ़ॉल्ट
job_name	CI नौकरी का नाम	"trivy:scan:containers"
stage	पाइपलाइन चरण	"test"
image	Trivy कंटेनर इमेज	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_SCAN_REMOTE_IMAGE	दूरस्थ इमेज संदर्भ	""
TRIVY_SCAN_LOCAL_IMAGES	स्थानीय स्कैन के लिए निर्देशिका/tar	""
TRIVY_SCANNERS	सक्षम स्कैनर	"vuln,secret,misconfig"
TRIVY_IMAGE_SRC	इमेज स्रोत बैकएंड (remote/docker/...)	""
severity	गंभीरताएँ	"CRITICAL,HIGH"
exit_on_vulnerability	गंभीरता मिलान पर विफल करें	true
TRIVY_IGNORE_UNFIXED	बिना फिक्स वाली समस्याओं को अनदेखा करें	true
TRIVY_PKG_TYPES	पैकेज प्रकार	"os,library"
TRIVY_VULN_TYPE	पैकेज प्रकारों के लिए अप्रचलित उपनाम	""
TRIVY_TIMEOUT	कमांड टाइमआउट	"10m"
TRIVY_EXTRA_ARGS	अतिरिक्त CLI आर्ग	""
TRIVY_DB_REPOSITORY	कस्टम DB मिरर	""
TRIVY_JAVA_DB_REPOSITORY	कस्टम Java DB मिरर	""
TRIVY_SKIP_FILES	फ़ाइल ग्लोब बहिष्करण	""
TRIVY_SKIP_DIRS	निर्देशिका बहिष्करण	""
allow_failure	पाइपलाइन विफल किए बिना विफलता की अनुमति दें	false

उदाहरण

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_container@latest
    inputs:
      job_name: "trivy:containers"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/service:latest"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: true

घटक: templates/target_filesystem.yml

इनपुट	विवरण	डिफ़ॉल्ट
job_name	CI नौकरी का नाम	"trivy:scan:filesystem"
stage	पाइपलाइन चरण	"test"
image	Trivy इमेज	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_FS_PATH	स्कैन करने के लिए फ़ाइल या निर्देशिका	"."
TRIVY_SCANNERS	सक्षम स्कैनर	"vuln,secret"
severity	गंभीरताएँ	"CRITICAL,HIGH"
exit_on_vulnerability	गंभीरता मिलान पर विफल करें	true
TRIVY_IGNORE_UNFIXED	अनफिक्स्ड समस्याओं को अनदेखा करें	true
TRIVY_PKG_TYPES	पैकेज प्रकार	"os,library"
TRIVY_TIMEOUT	टाइमआउट	"10m"
TRIVY_SKIP_FILES	छोड़ने के लिए फ़ाइल ग्लोब	""
TRIVY_SKIP_DIRS	छोड़ने के लिए निर्देशिकाएँ	""
TRIVY_EXTRA_ARGS	अतिरिक्त CLI आर्ग	""
TRIVY_REPORT_BASENAME	आर्टिफैक्ट आधार नाम	"filesystem-scan"
allow_failure	नौकरी विफलता की अनुमति दें	false

उदाहरण

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_filesystem@latest
    inputs:
      TRIVY_FS_PATH: "services/api"
      TRIVY_SCANNERS: "vuln,misconfig,secret"

घटक: templates/target_rootfs.yml

इनपुट	विवरण	डिफ़ॉल्ट
job_name	नौकरी का नाम	"trivy:scan:rootfs"
stage	चरण	"test"
image	Trivy इमेज	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_ROOTFS_PATH	रूट फाइलसिस्टम पथ	"/"
TRIVY_SCANNERS	स्कैनर	"vuln,secret"
severity	गंभीरताएँ	"CRITICAL,HIGH"
exit_on_vulnerability	निष्कर्षों पर नौकरी विफल करें	true
TRIVY_IGNORE_UNFIXED	अनफिक्स्ड को अनदेखा करें	true
TRIVY_PKG_TYPES	पैकेज प्रकार	"os,library"
TRIVY_TIMEOUT	टाइमआउट	"10m"
TRIVY_SKIP_FILES	छोड़ने के लिए फ़ाइलें	""
TRIVY_SKIP_DIRS	छोड़ने के लिए निर्देशिकाएँ	""
TRIVY_EXTRA_ARGS	अतिरिक्त आर्ग	""
TRIVY_REPORT_BASENAME	आर्टिफैक्ट आधार नाम	"rootfs-scan"
allow_failure	विफलता की अनुमति दें	false

उदाहरण

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_rootfs@latest
    inputs:
      TRIVY_ROOTFS_PATH: "/mnt/root"
      TRIVY_SCANNERS: "vuln"

घटक: templates/target_repository.yml

इनपुट	विवरण	डिफ़ॉल्ट
job_name	नौकरी का नाम	"trivy:scan:repo"
stage	चरण	"test"
image	Trivy इमेज	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_REPO_TARGET	स्थानीय पथ या Git URL	"."
TRIVY_REPO_BRANCH	दूरस्थ शाखा	""
TRIVY_REPO_COMMIT	कमिट हैश	""
TRIVY_REPO_TAG	टैग नाम	""
TRIVY_SCANNERS	स्कैनर	"vuln,secret"
severity	गंभीरताएँ	"CRITICAL,HIGH"
exit_on_vulnerability	निष्कर्षों पर नौकरी विफल करें	true
TRIVY_IGNORE_UNFIXED	अनफिक्स्ड को अनदेखा करें	true
TRIVY_TIMEOUT	टाइमआउट	"10m"
TRIVY_SKIP_FILES	छोड़ने के लिए फ़ाइलें	""
TRIVY_SKIP_DIRS	छोड़ने के लिए निर्देशिकाएँ	""
TRIVY_EXTRA_ARGS	अतिरिक्त आर्ग	""
TRIVY_REPORT_BASENAME	आर्टिफैक्ट आधार नाम	"repo-scan"
allow_failure	विफलता की अनुमति दें	false

उदाहरण

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_repository@latest
    inputs:
      TRIVY_REPO_TARGET: "https://github.com/aquasecurity/trivy"
      TRIVY_REPO_BRANCH: "main"

घटक: templates/target_vm.yml