Kush's Wiki

Trivy

#Security #Cloud Native #Continuous Integration #Continuous Delivery

Aqua Securityが開発するオープンソースの脆弱性・設定ミス・シークレットスキャナー。コンテナイメージ、Kubernetes、IaC、gitリポジトリを対象とする

SASTツールの一種としてDevSecOpsのシフトレフトセキュリティを担い、CIパイプラインに統合できる
DockerfileやTerraformの設定ミス検出、シークレット検出、SBOM生成にも対応する
--format sarif で SARIF 出力に対応し GitHub Code Scanning に取り込める

https://trivy.dev/ https://github.com/aquasecurity/trivy

DevGuard

#Security OWASP Incubating Project の開発者向け統合セキュリティプラットフォーム。AGPL-3.0、Go + PostgreSQL 実装シークレットスキャン / SAST / SCA / IaC / コンテナスキャン / ライセンスチェックを単一 CLI に統合し、サプライチェーン攻撃対策まで含めて開発ワークフローに組み込む Trivy など標準準拠スキャナの出力取り込み、依存パッケージの Dependency Firewall（npm / Python など）、GitHub / GitLab / Jira との双方向同期を備えるオープン標準（SBOM / VEX / SARIF / SLSA / in-toto）を中核に据える https://devguard.org/ https://github.com/l3montree-dev/devguard