Trivy GitLab CI 컴포넌트

GitLab CI를 위한 Trivy 컴포넌트입니다. Trivy는 컨테이너 이미지, 파일시스템, 리포지토리, Kubernetes 클러스터, SBOM, 라이선스 규정 준수를 포괄하는 올인원 보안 스캐너입니다. 이 템플릿들을 파이프라인에 직접 연결하면 거의 셸 스크립팅 없이 반복 가능한 스캔, GitLab 네이티브 보고서 및 이식 가능한 아티팩트를 얻을 수 있습니다.

기능

• 전체 표면 커버리지: 컨테이너, 파일시스템, 루트 파일시스템, Git 리포지토리, VM, SBOM, Kubernetes 클러스터 등.
• 다중 스캐너: 취약점, 잘못된 구성/IaC, 시크릿, 라이선스 스캐닝을 작업별 제어와 함께 제공.
• GitLab 보고서: 머지 리퀘스트 인사이트를 위한 컨테이너 스캐닝, JUnit, SARIF, JSON 아티팩트를 생성합니다.
• 사용자 정의 가능한 입력: 모든 템플릿은 심각도, 스캐너, 시간 초과, 패키지 유형, 아티팩트에 대한 설정을 제공합니다.
• 조합 가능한 템플릿: 하나의 컴포넌트 네임스페이스에서 원격 또는 로컬 스캔, SBOM 워크플로우, Rekor 증명, IaC 검사를 혼합할 수 있습니다.

사용법

기본 사용법

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest

stages:
  - test

원격 이미지 - 사용자 정의 심각도

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:remote"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/app:latest"
      severity: "CRITICAL,HIGH,MEDIUM"
      exit_on_vulnerability: true

stages:
  - test

로컬 tar / OCI 레이아웃 스캔

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "security:local"
      TRIVY_SCAN_LOCAL_IMAGES: "dist/"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: false

stages:
  - test

컴포넌트 입력 및 템플릿

아래 각 템플릿은 컴포넌트 사양에 정의된 대로 사용 가능한 입력 및 기본값을 나열하고, 그 뒤에 최소 작업 예제를 제공합니다.

컴포넌트: templates/main.yml

입력	설명	기본값
job_name	CI 작업 이름	"trivy scanning"
stage	파이프라인 단계	"test"
image	Trivy를 실행하는 컨테이너 이미지	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_NEEDED_STAGE	Trivy 실행 전에 완료되어야 하는 단계	"build"
TRIVY_SCAN_REMOTE_IMAGE	스캔할 원격 이미지	""
TRIVY_SCAN_LOCAL_IMAGES	tar/OCI 입력 경로 (비어 있으면 . 검색)	""
TRIVY_SCANNERS	쉼표로 구분된 스캐너	"vuln,secret,misconfig"
severity	포함할 심각도	"CRITICAL,HIGH"
exit_on_vulnerability	문제 발견 시 작업 실패 처리	true
TRIVY_EXTRA_ARGS	추가 CLI 플래그	""
allow_failure	파이프라인 실패 없이 작업 실패 허용	false

예제

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/main@latest
    inputs:
      job_name: "trivy:basic"
      TRIVY_SCAN_REMOTE_IMAGE: "nginx:latest"

컴포넌트: templates/target_container.yml

입력	설명	기본값
job_name	CI 작업 이름	"trivy:scan:containers"
stage	파이프라인 단계	"test"
image	Trivy 컨테이너 이미지	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_SCAN_REMOTE_IMAGE	원격 이미지 참조	""
TRIVY_SCAN_LOCAL_IMAGES	로컬 스캔을 위한 디렉터리/tar	""
TRIVY_SCANNERS	활성화된 스캐너	"vuln,secret,misconfig"
TRIVY_IMAGE_SRC	이미지 소스 백엔드 (remote/docker/...)	""
severity	심각도	"CRITICAL,HIGH"
exit_on_vulnerability	심각도 일치 시 실패	true
TRIVY_IGNORE_UNFIXED	수정 사항이 없는 문제 무시	true
TRIVY_PKG_TYPES	패키지 유형	"os,library"
TRIVY_VULN_TYPE	pkg 유형의 사용 중단된 별칭	""
TRIVY_TIMEOUT	명령 시간 초과	"10m"
TRIVY_EXTRA_ARGS	추가 CLI 인수	""
TRIVY_DB_REPOSITORY	사용자 정의 DB 미러	""
TRIVY_JAVA_DB_REPOSITORY	사용자 정의 Java DB 미러	""
TRIVY_SKIP_FILES	파일 글로브 제외 패턴	""
TRIVY_SKIP_DIRS	디렉터리 제외 패턴	""
allow_failure	파이프라인 실패 없이 실패 허용	false

예제

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_container@latest
    inputs:
      job_name: "trivy:containers"
      TRIVY_SCAN_REMOTE_IMAGE: "registry.gitlab.com/group/service:latest"
      TRIVY_SCANNERS: "vuln,secret"
      exit_on_vulnerability: true

컴포넌트: templates/target_filesystem.yml

입력	설명	기본값
job_name	CI 작업 이름	"trivy:scan:filesystem"
stage	파이프라인 단계	"test"
image	Trivy 이미지	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_FS_PATH	스캔할 파일 또는 디렉터리	"."
TRIVY_SCANNERS	활성화된 스캐너	"vuln,secret"
severity	심각도	"CRITICAL,HIGH"
exit_on_vulnerability	심각도 일치 시 실패	true
TRIVY_IGNORE_UNFIXED	수정되지 않은 문제 무시	true
TRIVY_PKG_TYPES	패키지 유형	"os,library"
TRIVY_TIMEOUT	시간 초과	"10m"
TRIVY_SKIP_FILES	건너뛸 파일 글로브	""
TRIVY_SKIP_DIRS	건너뛸 디렉터리	""
TRIVY_EXTRA_ARGS	추가 CLI 인수	""
TRIVY_REPORT_BASENAME	아티팩트 기본 이름	"filesystem-scan"
allow_failure	작업 실패 허용	false

예제

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_filesystem@latest
    inputs:
      TRIVY_FS_PATH: "services/api"
      TRIVY_SCANNERS: "vuln,misconfig,secret"

컴포넌트: templates/target_rootfs.yml

입력	설명	기본값
job_name	작업 이름	"trivy:scan:rootfs"
stage	단계	"test"
image	Trivy 이미지	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_ROOTFS_PATH	루트 파일시스템 경로	"/"
TRIVY_SCANNERS	스캐너	"vuln,secret"
severity	심각도	"CRITICAL,HIGH"
exit_on_vulnerability	발견 시 작업 실패	true
TRIVY_IGNORE_UNFIXED	수정되지 않은 문제 무시	true
TRIVY_PKG_TYPES	패키지 유형	"os,library"
TRIVY_TIMEOUT	시간 초과	"10m"
TRIVY_SKIP_FILES	건너뛸 파일	""
TRIVY_SKIP_DIRS	건너뛸 디렉터리	""
TRIVY_EXTRA_ARGS	추가 인수	""
TRIVY_REPORT_BASENAME	아티팩트 기본 이름	"rootfs-scan"
allow_failure	실패 허용	false

예제

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_rootfs@latest
    inputs:
      TRIVY_ROOTFS_PATH: "/mnt/root"
      TRIVY_SCANNERS: "vuln"

컴포넌트: templates/target_repository.yml

입력	설명	기본값
job_name	작업 이름	"trivy:scan:repo"
stage	단계	"test"
image	Trivy 이미지	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_REPO_TARGET	로컬 경로 또는 Git URL	"."
TRIVY_REPO_BRANCH	원격 브랜치	""
TRIVY_REPO_COMMIT	커밋 해시	""
TRIVY_REPO_TAG	태그 이름	""
TRIVY_SCANNERS	스캐너	"vuln,secret"
severity	심각도	"CRITICAL,HIGH"
exit_on_vulnerability	발견 시 작업 실패	true
TRIVY_IGNORE_UNFIXED	수정되지 않은 문제 무시	true
TRIVY_TIMEOUT	시간 초과	"10m"
TRIVY_SKIP_FILES	건너뛸 파일	""
TRIVY_SKIP_DIRS	건너뛸 디렉터리	""
TRIVY_EXTRA_ARGS	추가 인수	""
TRIVY_REPORT_BASENAME	아티팩트 기본 이름	"repo-scan"
allow_failure	실패 허용	false

예제

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_repository@latest
    inputs:
      TRIVY_REPO_TARGET: "https://github.com/aquasecurity/trivy"
      TRIVY_REPO_BRANCH: "main"

컴포넌트: templates/target_vm.yml

입력	설명	기본값
job_name	작업 이름	"trivy:scan:vm"
stage	단계	"test"
image	Trivy 이미지	"ghcr.io/aquasecurity/trivy:0.68.1"
TRIVY_VM_TARGET	로컬 경로 또는 ami:/ebs: 식별자	""
TRIVY_AWS_REGION	AMI/EBS 스캔을 위한 AWS 리전	""
TRIVY_SCANNERS	스캐너	"vuln"
severity	심각도	"CRITICAL,HIGH"
exit_on_vulnerability	발견 시 작업 실패	true
TRIVY_IGNORE_UNFIXED	수정되지 않은 문제 무시	true
TRIVY_TIMEOUT	시간 초과	"20m"
TRIVY_EXTRA_ARGS	추가 인수	""
TRIVY_REPORT_BASENAME	아티팩트 기본 이름	"vm-scan"
allow_failure	실패 허용	false

예제

include:
  - component: $CI_SERVER_FQDN/niclas-zone/ci/trivy/target_vm@latest
    inputs:
      TRIVY_VM_TARGET: "ami-0123456789abcdef0"
      TRIVY_AWS_REGION: "us-east-1"

컴포넌트: templates/target_kubernetes.yml