Démo Trivy — 3 à 4 minutes

<aside> 🎯

Objectif : montrer ce que fait Trivy, comment il obtient ses résultats et comment une équipe peut exploiter son rapport.

</aside>

Contexte

Nous sommes dans une équipe DevOps qui doit déployer une application web.

L'application a déjà été construite sous forme d'une image Docker appelée demo-vulnerable.

Avant de l'envoyer en préproduction, nous voulons vérifier si cette image embarque des composants connus comme vulnérables.

Question de départ : qu'est-ce que Trivy peut nous apprendre sur la sécurité de cette image ?

1. Montrer la cible

À l'écran

docker image ls demo-vulnerable

À dire

« Ici, notre application a déjà été construite sous forme d'image Docker. L'image demo-vulnerable représente donc la version que l'équipe souhaite déployer. »

« Trivy peut analyser cette image directement, sans avoir besoin de démarrer le conteneur. »

But : montrer clairement quelle cible va être analysée.

2. Lancer l'analyse Trivy

À l'écran

trivy image \
  --scanners vuln \
  --severity CRITICAL \
  demo-vulnerable

À dire pendant le scan