Trivy

# ── INSTALACIÓN ───────────────────────────────────────
# macOS
brew install trivy

# Ubuntu/Debian
sudo apt-get install trivy

# Docker
docker pull aquasec/trivy

# Verificar
trivy --version

# ── ESCANEO BÁSICO DE IMÁGENES ────────────────────────
# Escanear una imagen Docker
trivy image nginx:latest

# Escanear con severidad específica
trivy image --severity HIGH,CRITICAL nginx:latest

# Escanear imagen local
docker build -t mi-app:latest .
trivy image mi-app:latest

# Escanear imagen de un registry privado
trivy image registry.empresa.com/app:latest

# ── ESCANEO DE ARCHIVOS Y REPOSITORIOS ────────────────
# Escanear un directorio (filesystem mode)
trivy fs --security-checks vuln,secret,config .

# Escanear un repo Git
trivy repo https://github.com/usuario/repo

# Escanear solo configuraciones inseguras
trivy config --severity HIGH,CRITICAL .

# ── ESCANEO DE KUBERNETES ──────────────────────────────
# Escanear manifiestos de Kubernetes
trivy k8s --report summary cluster

# Escanear un namespace específico
trivy k8s --namespace production cluster

# ── INTEGRACIÓN CON CI/CD ──────────────────────────────
# GitHub Actions
cat > .github/workflows/trivy.yml << 'EOF'
name: Trivy Security Scan
on: [push, pull_request]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'mi-app:latest'
          format: 'sarif'
          output: 'trivy-results.sarif'
          severity: 'CRITICAL,HIGH'
      - name: Upload Trivy scan results
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: 'trivy-results.sarif'
EOF

# GitLab CI
cat > .gitlab-ci.yml << 'EOF'
trivy-scan:
  stage: test
  image:
    name: aquasec/trivy
    entrypoint: [""]
  script:
    - trivy image --exit-code 1 --severity CRITICAL $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
EOF

# ── GENERAR SBOM ───────────────────────────────────────
# SBOM en formato CycloneDX
trivy image --format cyclonedx --output sbom.json nginx:latest

# SBOM en formato SPDX
trivy image --format spdx --output sbom.spdx nginx:latest

# SBOM como tabla legible
trivy image --format table --output sbom.txt nginx:latest

# ── REPORTE DE LICENCIAS ──────────────────────────────
# Escanear licencias de una imagen
trivy image --license-full nginx:latest

# Escanear licencias en un repo
trivy repo --license-full https://github.com/usuario/repo

# ── REPORTES DETALLADOS ────────────────────────────────
# Reporte JSON completo (para procesamiento automatizado)
trivy image --format json --output report.json mi-app:latest

# Reporte SARIF (para GitHub Code Scanning)
trivy image --format sarif --output trivy.sarif mi-app:latest

# Reporte con todas las vulnerabilidades (no solo CRITICAL/HIGH)
trivy image --severity UNKNOWN,LOW,MEDIUM,HIGH,CRITICAL mi-app:latest

# ── ANÁLISIS DE DEPENDENCIAS ───────────────────────────
# Escanear solo dependencias (sin configs ni secrets)
trivy fs --security-checks vuln --vuln-type os,library .

# Mostrar solo vulnerabilidades con fix disponible
trivy image --ignore-unfixed nginx:latest

# Escanear con custom severity thresholds
trivy image --severity CRITICAL --exit-code 1 mi-app:latest

# ── ESCANEO DE KUBERNETES PROFUNDO ────────────────────
# Escanear todos los pods en un cluster
trivy k8s --report all --format json --output k8s-report.json cluster

# Escanear imágenes de pods específicos
trivy k8s --report summary -l app=nginx cluster

# ── INTEGRACIÓN CON VULNERABILITY MANAGEMENT ───────────
# Exportar a formato compatible con DefectDojo/SimpleRisk
trivy image --format json mi-app:latest | \
  jq '.Results[].Vulnerabilities[] | {id: .VulnerabilityID, severity: .Severity, pkg: .PkgName, installed: .InstalledVersion, fixed: .FixedVersion}'

# ── ESCANEO EN PRODUCCIÓN ─────────────────────────────
# Escanear todos los containers en ejecución
for container in $(docker ps --format '{{.Names}}'); do
    image=$(docker inspect --format '{{.Config.Image}}' $container)
    echo "--- Escaneando $container ($image) ---"
    trivy image --severity HIGH,CRITICAL $image
done

# ── CUSTOM .trivyignore ────────────────────────────────
# Crear archivo para ignorar CVEs conocidos con justificación
cat > .trivyignore << 'EOF'
# CVE-2024-12345: Falso positivo confirmado por el equipo de seguridad
# Justificación: La función vulnerable no se usa en nuestro contexto
CVE-2024-12345
# CVE-2024-67890: Pendiente de parche, mitigación aplicada
CVE-2024-67890
EOF

trivy image --ignorefile .trivyignore mi-app:latest

# ── ESCANEO DE TERRAFORM / IaC ─────────────────────────
# Escanear manifiestos de Terraform
trivy config --severity HIGH,CRITICAL /path/to/terraform/

# Escanear CloudFormation
trivy config --severity HIGH,CRITICAL cloudformation.yml

# Escanear Dockerfiles
trivy config --severity HIGH,CRITICAL Dockerfile

# ── CACHE Y RENDIMIENTO ────────────────────────────────
# Usar cache para escaneos rápidos
trivy image --cache-dir /tmp/trivy-cache mi-app:latest

# Descargar DB para escaneo offline
trivy image --download-db-only

# Escanear en modo offline (sin conexión)
trivy image --offline-scan --skip-db-update mi-app:latest

# ── ESCANEO MULTIPLE Y RESUMEN ─────────────────────────
# Escanear múltiples imágenes y generar reporte consolidado
cat > scan_all.sh << 'SCRIPT'
#!/bin/bash
IMAGES="nginx:latest node:18 python:3.11 redis:alpine"
REPORT="./trivy_report_$(date +%Y%m%d).json"

echo '{"scan_date":"'$(date)'","images":[' > "$REPORT"
first=true
for img in $IMAGES; do
    if [ "$first" = true ]; then
        first=false
    else
        echo ',' >> "$REPORT"
    fi
    trivy image --format json "$img" >> "$REPORT"
done
echo ']}' >> "$REPORT"

# Resumen
echo "=== RESUMEN DE ESCANEO ==="
jq -r '.images[] | "(.ArtifactName): (.Results[0].Vulnerabilities // [] | length) vulnerabilidades"' "$REPORT"
SCRIPT
chmod +x scan_all.sh