将Kubernetes上下文应用于扫描以抑制漏洞
（此徽标并非 AI 生成）
Vex8s 通过将容器漏洞与 Kubernetes 设置相关联，生成 VEX 文档，以确定哪些 CVE 在您的集群中实际可利用。
请注意，这是一个实验性项目。内容可能会快速变化。
该项目旨在通过结合漏洞分类和 securityContext 分析，评估 Kubernetes 工作负载中已知 CVE 的可利用性。
它基于以下概念：
如需更深入的阅读，您可以查阅本文：环境感知的 Kubernetes 安全上下文与 VEX 漏洞抑制
您可以从 release 页面下载最新的二进制文件。
或者您可以手动构建：
make build
vex8s 目前支持 2 种生成 VEX 文档的方式：
被动模式：传入由 trivy 或 grype 生成的现有漏洞报告。
主动模式：使用 trivy 或 grype 引擎主动扫描镜像，然后根据结果生成文档。
使用 trivy：
# 生成漏洞报告。
trivy image --format json --output nginx.trivy.json nginx:1.21.0
# 通过处理漏洞报告生成 VEX 文档。
vex8s generate --manifest examples/nginx.yaml --report nginx.trivy.json --output nginx.vex.json
# 使用 VEX 文档再次扫描以抑制漏洞。
trivy image --vex nginx.vex.json --show-suppressed nginx:1.21.0
同样的操作也可以使用 grype：
# 生成 SBOM 报告。
grype --output cyclonedx-json --file nginx.grype.json nginx:1.21.0
# 生成漏洞报告。
grype sbom:./nginx.grype.json --output json --file nginx.grype-vr.json
# 通过处理漏洞报告生成 VEX 文档。
vex8s generate --manifest examples/nginx.yaml --report nginx.grype-vr.json --output nginx.vex.json
# 使用 VEX 文档扫描 SBOM 以抑制漏洞。
grype sbom:./nginx.grype.json --output table --vex nginx.vex.json --show-suppressed
使用 trivy：
# 扫描镜像并自动生成 VEX 文档。
vex8s generate --manifest examples/nginx.yaml --scan.engine trivy --output nginx.vex.json
# 使用 VEX 文档再次扫描以抑制漏洞。
trivy image --vex nginx.vex.json --show-suppressed nginx:1.21.0
同样的操作也可以使用 grype：
# 生成 SBOM 报告。
grype --output cyclonedx-json --file nginx.grype.json nginx:1.21.0
# 扫描镜像并自动生成 VEX 文档。
vex8s generate --manifest examples/nginx.yaml --scan.engine grype --output nginx.vex.json
# 使用 VEX 文档扫描 SBOM 以抑制漏洞。
grype sbom:./nginx.grype.json --output table --vex nginx.vex.json --show-suppressed
每个 CVE 被归类为一个或多个 利用类别，这些类别驱动缓解决策。vex8s 通过 --classifier 支持两种分类器引擎：
embedded（默认）：一个捆绑在二进制文件中的离线 ONNX ML 模型。无需网络访问。gemini：使用 Google 的 Gemini LLM 对 CVE 描述进行分类。需要 GEMINI_API_KEY 环境变量（可选 GEMINI_MODEL）。export GEMINI_API_KEY="your-api-key"
vex8s generate --manifest examples/nginx.yaml --report nginx.trivy.json \
--output nginx.vex.json --classifier gemini
请参阅 文档 — 特别是 用户指南 — 以获取完整的操作说明、Gemini 分类器设置以及完整的标志参考。
此项目的灵感来源于 Akihiro Suda 的项目 vexllm。