Maitriser TRIVY

Maitriser TRIVY

MODULE 1 Introduction à Trivy & écosystème de sécurité

Positionnement de Trivy dans la sécurité applicative : SAST, SCA, scan de conteneurs, scan d’Infrastructure as Code — ce que Trivy couvre et ce qu’il ne couvre pas.
Présentation de l’éditeur Aqua Security et du projet open source (licence Apache-2.0, cadence de versions, image Docker officielle).
Types de scans supportés : vulnérabilités OS et applicatives, secrets, mauvaises configurations, licences.
Architecture générale : base de vulnérabilités Trivy DB, scanners modulaires, cache local, fonctionnement sans envoi de données.
Cas d’usage réels : poste de développement, pipeline CI/CD, registre d’images, cluster Kubernetes.
Étude de cas : la compromission de la chaîne d’approvisionnement de Trivy en mars 2026 et la règle des versions épinglées.
✏ Activité : Quiz de positionnement — 10 questions en ouverture de journée ; activité éclair « 5 situations, quel scanner ? ».

MODULE 2 Installation et prise en main

Installation selon le système d’exploitation (Linux, macOS, Windows) et voie Docker retenue pour les ateliers (aquasec/trivy:0.74.0).
Structure de la ligne de commande : sous-commandes image, fs, repo, config, k8s, sbom ; options communes –severity, –format, — utput, –exit-code.
Premier scan d’une image Docker en démonstration : déroulement, résumé par cible, tableau détaillé.
Lecture du format de sortie : sévérités, identifiants CVE, versions installée et corrigée, statut (fixed, affected, will_not_fix).
Mise à jour de la base de vulnérabilités et gestion du cache local (trivy version, trivy clean).
✏ Activité : TP guidé — Installation complète de Trivy et premier scan opérationnel : comparaison d’une image Debian et de son équivalent Alpine, tableau de synthèse.

MODULE 3 Scan d’images de conteneurs en profondeur

Vulnérabilités des paquets système (Debian, Alpine, RHEL) et des dépendances applicatives (pip, npm, Maven, Go…) : deux cibles dans une image.
Détection de secrets dans les couches d’image : règles intégrées, localisation de l’instruction fautive, remédiation.
Détection de mauvaises configurations de l’image construite (utilisateur root, HEALTHCHECK, apt-get, tag latest).
Filtrage des résultats : –severity, –ignore-unfixed, fichier d’exceptions .trivyignore.yaml justifié et daté.
Formats de sortie : table, JSON, SARIF, SBOM ; scan d’images dans un registre privé.
✏ Activité : Atelier scan de conteneurs — 5 exercices progressifs sur l’image de l’application fil rouge « Boutik » : vulnérabilités, secret, correction du Dockerfile, export, exception documentée.

MODULE 4 Scan de l’Infrastructure as Code (IaC)

Scan de Dockerfiles, de fichiers Terraform, de manifests Kubernetes et de templates CloudFormation ou ARM.
Détection de mauvaises configurations cloud : buckets publics, security groups trop permissifs, bases exposées, chiffrement absent, IMDSv1.
Politiques Rego / Open Policy Agent sous-jacentes à Trivy : origine des règles, identifiants, base AVD.
Personnalisation des règles : filtrage, exceptions documentées, checks personnalisés (–config-check).
Scan de dépôt distant (trivy repo) et de répertoire local (trivy fs) : le shift-left avant le commit.
✏ Activité : Mise en situation — Analyse et sécurisation du jeu de fichiers IaC de Boutik (Terraform + Kubernetes) jusqu’à zéro résultat HIGH/CRITICAL.

MODULE 5 Intégration CI/CD et automatisation

Intégration dans GitHub Actions, GitLab CI et Jenkins : extraits de pipelines réels, épinglage des versions et des actions par SHA.
Stratégies de blocage du pipeline selon la sévérité : informatif, bloquant strict, progressif ; exploitation du code de sortie.
Génération de SBOM (CycloneDX, SPDX) et rescan à partir de l’inventaire.
Export des résultats vers des outils tiers : SARIF vers l’onglet GitHub Security, JSON vers DefectDojo, notifications.
Scan automatisé et continu des registres d’images ; persistance du cache en CI.
✏ Activité : Projet guidé — Reproduction en local des étapes du pipeline (code de sortie, SBOM, SARIF), puis démonstration d’un pipeline réel GitHub Actions par le formateur.

MODULE 6 Trivy en production : Kubernetes, bonnes pratiques et gouvernance

Trivy Operator : scan continu des workloads d’un cluster, rapports VulnerabilityReport, ConfigAuditReport, ExposedSecretReport.

Trivy Server : mode client/serveur, mutualisation de la base, environnements sans Internet.

Gestion des faux positifs et des vulnérabilités acceptées : exceptions justifiées, datées, validées.

Dimensionnement et performance : cache, fréquence de scan, concurrence, impact sur les pipelines.

Gouvernance : seuils de sévérité par environnement (développement, pré-production, production), rôles et validation.

Récapitulatif, plan d’action individuel et questions/réponses.

✏ Activité : Atelier gouvernance « de la liste de CVE à la décision » (sous-groupes) ; mise en situation complète — déploiement de Trivy Operator sur un cluster Kubernetes vierge, scan continu, traitement d’un faux positif et rapport de posture (kit guidé, réalisé après la session, environ 2 h)