Kubernetesのコンテキストをスキャンに適用することで脆弱性を抑制する
（このロゴはAI生成ではありません）
Vex8sは、コンテナの脆弱性とKubernetesの設定を関連付けて、クラスタ内で実際に悪用可能なCVEを特定し、VEXドキュメントを生成します。
注意：これは実験的なプロジェクトです。仕様は急速に変更される可能性があります。
このプロジェクトは、脆弱性の分類と securityContext 分析を組み合わせることで、Kubernetesワークロード内の既知のCVEの悪用可能性を評価することを目的としています。
以下のコンセプトに基づいています：
より深く理解するには、この論文を参照してください：Kubernetes Security ContextsとVEXを用いた環境認識型脆弱性抑制
最新のバイナリはリリースページからダウンロードできます。
または、手動でビルドすることもできます：
make build
vex8s は現在、VEXドキュメントを生成する2つの方法をサポートしています：
trivy または grype で作成された既存の脆弱性レポートを渡します。trivy または grype エンジンを使用してイメージを能動的にスキャンし、その結果に基づいてドキュメントを生成します。trivy を使用：
# generate vulnerability report.
trivy image --format json --output nginx.trivy.json nginx:1.21.0
# generate VEX document by processing vulnerability report.
vex8s generate --manifest examples/nginx.yaml --report nginx.trivy.json --output nginx.vex.json
# scan again with VEX document to suppress vulnerabilities.
trivy image --vex nginx.vex.json --show-suppressed nginx:1.21.0
grype でも同様に適用できます：
# generate sbom report.
grype --output cyclonedx-json --file nginx.grype.json nginx:1.21.0
# generate vulnerability report.
grype sbom:./nginx.grype.json --output json --file nginx.grype-vr.json
# generate VEX document by processing vulnerability report.
vex8s generate --manifest examples/nginx.yaml --report nginx.grype-vr.json --output nginx.vex.json
# scan sbom with VEX document to suppress vulnerabilities.
grype sbom:./nginx.grype.json --output table --vex nginx.vex.json --show-suppressed
trivy を使用：
# scan the image and automatically generate VEX document.
vex8s generate --manifest examples/nginx.yaml --scan.engine trivy --output nginx.vex.json
# scan again with VEX document to suppress vulnerabilities.
trivy image --vex nginx.vex.json --show-suppressed nginx:1.21.0
grype でも同様に適用できます：
# generate sbom report.
grype --output cyclonedx-json --file nginx.grype.json nginx:1.21.0
# scan the image and automatically generate VEX document.
vex8s generate --manifest examples/nginx.yaml --scan.engine grype --output nginx.vex.json
# scan sbom with VEX document to suppress vulnerabilities.
grype sbom:./nginx.grype.json --output table --vex nginx.vex.json --show-suppressed
このプロジェクトは、Akihiro Suda氏のプロジェクト vexllm に触発されました。