Trivy — Présentation orale ciblée (~7 minutes)

<aside> 🎯

Objectif : expliquer clairement ce qu’est Trivy, comment il fonctionne et pourquoi on l’intègre dans une chaîne DevSecOps. La démo vient ensuite pendant environ 3 minutes.

</aside>

1. Problème et contexte — ~45 s

Aujourd’hui, une application conteneurisée ne contient pas uniquement le code écrit par le développeur. Une image Docker embarque aussi un système d’exploitation, des bibliothèques et de nombreuses dépendances tierces.

Le problème est qu’une vulnérabilité peut se trouver dans l’un de ces composants sans être visible directement dans le code de l’application.

L’objectif du DevSecOps est donc d’intégrer la sécurité pendant le cycle de développement, et non uniquement juste avant ou après la mise en production.

Problématique de notre démonstration : comment vérifier automatiquement qu’une image Docker n’introduit pas de vulnérabilité critique avant son déploiement ?

2. Qu’est-ce que Trivy ? — ~45 s

Trivy est un scanner de sécurité open source maintenu par Aqua Security.

Son rôle est d’analyser différents éléments d’un projet afin d’identifier des problèmes de sécurité connus.

Dans notre cas, nous nous concentrons sur son usage le plus simple et le plus pertinent : le scan d’une image Docker.

Trivy fonctionne principalement par analyse statique : il inspecte le contenu de l’image sans avoir besoin de démarrer le conteneur.

La commande de base est :

trivy image mon-image:latest

3. Que peut analyser Trivy ? — ~45 s

Trivy ne se limite pas aux images Docker. Il peut notamment analyser :

• des images de conteneurs ;
• le système de fichiers d’un projet ;
• des dépôts Git ;
• des fichiers d’Infrastructure as Code, comme Dockerfile, Terraform ou Kubernetes ;