trivyでDockerイメージの脆弱性をスキャンする方法｜CI組み込みとベースイメージ更新の運用

この記事のポイント

・trivy image <イメージ名> でDockerイメージの脆弱性を数十秒でスキャンできる
・--severity CRITICAL,HIGH フィルタで優先対応すべきCVEだけ絞り込める
・GitHub Actions の aquasecurity/trivy-action でCI段階に自動スキャンを組み込める
・ベースイメージをalpine/distrolessに変え、定期cronスキャンで継続管理が基本戦略

# インストールスクリプトを実行する（rootまたはsudo）
$ curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sudo sh -s -- -b /usr/local/bin

# バージョン確認
$ trivy --version
Version: 0.52.2
Vulnerability DB:
  Version: 2
  UpdatedAt: 2024-07-01 06:18:11 +0000 UTC
  NextUpdate: 2024-07-01 12:18:11 +0000 UTC
  DownloadedAt: 2024-07-01 10:23:45 +0000 UTC

# /etc/yum.repos.d/trivy.repo を作成する
$ sudo tee /etc/yum.repos.d/trivy.repo << 'REPOEOF'
[trivy]
name=Trivy repository
baseurl=https://aquasecurity.github.io/trivy-repo/rpm/releases/$releasever/$basearch/
gpgcheck=1
enabled=1
gpgkey=https://aquasecurity.github.io/trivy-repo/rpm/public.key
REPOEOF

# パッケージをインストールする
$ sudo dnf install -y trivy

# Ubuntuの公式イメージをスキャンする（初回は数分かかる）
$ trivy image ubuntu:22.04

2024-07-01T10:23:45+09:00 INFO    Vulnerability scanning is enabled
2024-07-01T10:23:45+09:00 INFO    Downloading vulnerability DB...
2024-07-01T10:23:48+09:00 INFO    [ubuntu] Detecting OS packages...

ubuntu:22.04 (ubuntu 22.04)
Total: 38 (UNKNOWN: 0, LOW: 16, MEDIUM: 22, HIGH: 0, CRITICAL: 0)

# Dockerfileからイメージをビルドする
$ docker build -t myapp:latest .

# ローカルイメージをスキャンする
$ trivy image myapp:latest

# CRITICALとHIGHのみ表示する
$ trivy image --severity CRITICAL,HIGH myapp:latest

myapp:latest (debian 12.5)
Total: 5 (HIGH: 4, CRITICAL: 1)

Library          Vulnerability    Severity  Installed Version        Fixed Version
---------------  ---------------  --------  -----------------------  ---------------
openssl          CVE-2023-0286    CRITICAL  3.0.2-0ubuntu1.12        3.0.2-0ubuntu2
libssl3          CVE-2024-0727    HIGH      3.0.2-0ubuntu1.12        3.0.2-0ubuntu3
curl             CVE-2023-38545   HIGH      7.81.0-1ubuntu1.13       7.81.0-1ubuntu2
libc6            CVE-2023-4911    HIGH      2.35-0ubuntu3.4          2.35-0ubuntu3.5
libsystemd0      CVE-2023-26604   HIGH      249.11-0ubuntu3.11       249.11-0ubuntu3.12

# JSON形式でファイルに出力する
$ trivy image --format json --output trivy-report.json myapp:latest

# 内容確認（python3で整形表示）
$ python3 -m json.tool trivy-report.json | head -20
{
    "SchemaVersion": 2,
    "ArtifactName": "myapp:latest",
    "ArtifactType": "container_image",
    "Metadata": {
        "OS": {
            "Family": "debian",
            "Name": "12.5"
        }
    },
    "Results": [...]
}

# 修正済みバージョンが存在するCVEのみ表示する
$ trivy image --severity CRITICAL,HIGH --ignore-unfixed myapp:latest

myapp:latest (debian 12.5)
Total: 3 (HIGH: 2, CRITICAL: 1)
# 修正不可のCVEが除外され、今すぐ対応できる件数のみ表示される

# .github/workflows/trivy-scan.yml

name: Trivy Vulnerability Scan

on:
  push:
    branches: [ "main" ]
  pull_request:
    branches: [ "main" ]
  schedule:
    # 毎週月曜日 02:00 UTC に定期実行
    - cron: '0 2 * * 1'

jobs:
  scan:
    name: Build and Scan
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Build Docker image
        run: docker build -t myapp:${{ github.sha }} .

      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'myapp:${{ github.sha }}'
          format: 'sarif'
          output: 'trivy-results.sarif'
          exit-code: '1'
          ignore-unfixed: true
          severity: 'CRITICAL,HIGH'

      - name: Upload results to GitHub Security tab
        uses: github/codeql-action/upload-sarif@v3
        if: always()
        with:
          sarif_file: 'trivy-results.sarif'

# ベースイメージ別の脆弱性件数を比較する（--severity CRITICAL,HIGH）
$ trivy image ubuntu:22.04 --severity CRITICAL,HIGH 2>&1 | tail -3
ubuntu:22.04 (ubuntu 22.04)
Total: 18 (HIGH: 18, CRITICAL: 0)

$ trivy image python:3.12-slim-bookworm --severity CRITICAL,HIGH 2>&1 | tail -3
python:3.12-slim-bookworm (debian 12.5)
Total: 3 (HIGH: 3, CRITICAL: 0)

$ trivy image python:3.12-alpine --severity CRITICAL,HIGH 2>&1 | tail -3
python:3.12-alpine3.19 (alpine 3.19.1)
Total: 0 (HIGH: 0, CRITICAL: 0)

$ trivy image gcr.io/distroless/python3-debian12 --severity CRITICAL,HIGH 2>&1 | tail -3
gcr.io/distroless/python3-debian12 (debian 12.5)
Total: 0 (HIGH: 0, CRITICAL: 0)

# Dockerfile（マルチステージビルドの例）

# --- ビルドステージ ---
FROM golang:1.22 AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o myapp .

# --- 実行ステージ（alpine: 軽量・脆弱性が少ない）---
FROM alpine:3.19
RUN apk --no-cache add ca-certificates tzdata
WORKDIR /app
COPY --from=builder /app/myapp .
USER nobody
CMD ["./myapp"]

# /usr/local/bin/trivy-daily-scan.sh

#!/bin/bash
SCAN_DATE=$(date +%Y%m%d)
REPORT_DIR=/var/log/trivy
IMAGE_LIST="myapp:latest nginx:1.25 redis:7.2"

mkdir -p "$REPORT_DIR"

for IMAGE in $IMAGE_LIST; do
    IMAGE_SLUG=$(echo "$IMAGE" | sed 's/[:/]/__/g')
    REPORT_FILE="${REPORT_DIR}/${SCAN_DATE}_${IMAGE_SLUG}.txt"

    echo "=== スキャン開始: $IMAGE ===" > "$REPORT_FILE"
    trivy image --severity CRITICAL,HIGH --ignore-unfixed "$IMAGE" >> "$REPORT_FILE" 2>&1
    echo "=== スキャン完了: $(date) ===" >> "$REPORT_FILE"
done

# CRITICALが検出された場合はメール通知する
CRITICAL_COUNT=$(grep -rl "CRITICAL" "${REPORT_DIR}/${SCAN_DATE}"_*.txt 2>/dev/null | wc -l)
if [ "$CRITICAL_COUNT" -gt 0 ]; then
    echo "trivyスキャンでCRITICAL脆弱性がある${CRITICAL_COUNT}件のイメージが検出されました。${REPORT_DIR}を確認してください。"         | mail -s "[要対応] Trivy CRITICAL検出 $(date +%Y-%m-%d)" admin@example.com
fi

# スクリプトに実行権限を付ける
$ sudo chmod 755 /usr/local/bin/trivy-daily-scan.sh

# crontabに登録する（毎日午前2時に実行）
$ sudo crontab -e
# 以下の行を追加する
0 2 * * * /usr/local/bin/trivy-daily-scan.sh

# エラー例
FATAL	Failed to download vulnerability DB
  error: OCI error

# 対処1: DBキャッシュディレクトリを明示する
$ TRIVY_CACHE_DIR=/tmp/trivy-cache trivy image myapp:latest

# 対処2: CI環境でDBをキャッシュする（GitHub Actionsの例）
- name: Cache Trivy DB
  uses: actions/cache@v4
  with:
    path: ~/.cache/trivy
    key: trivy-db-${{ github.run_id }}
    restore-keys: trivy-db-

# .trivyignore（プロジェクトルートに配置）
# 対応不可の既知CVEを一時除外する（理由をコメントで必ず残すこと）
CVE-2023-12345  # 2024-09-30まで猶予（ベースイメージ側の修正待ち）
CVE-2022-99999  # 当環境では対象機能を使っていないため影響なし

# --ignorefile オプションで指定することもできる
$ trivy image --ignorefile .trivyignore myapp:latest