Trivy: سكانر أمان واحد للـ images والكود والأسرار (ودرس من الـ supply chain attack)
Trivy أداة open source بتفحص الـ images والمشروع و Kubernetes عن CVEs وأسرار متسرّبة وأخطاء IaC. ازاي تجرّبه في دقيقتين، وإيه الدرس من الهجوم اللي حصل عليه في مارس 2026.
الـ Docker image اللي رايحة production النهارده… تعرف فيها كام CVE؟ وهل فيه .env أو key نسيه حد جوه الريبو؟ لو الإجابة «مش متأكد»، فالمقال ده ليك. النهارده في سلسلة «أدوات وحاجات تقنية» (الجزء ٢٩) هنتكلم عن Trivy.
يعني إيه Trivy؟
Trivy سكانر أمان open source من Aqua Security، برخصة Apache-2.0، وآخر إصدار ليه v0.76.1 نزل يوم 21 أكتوبر 2026. الفكرة إنه أداة واحدة بتغطي أكتر من نوع فحص، بدل ما تركّب أداة لكل حاجة.
بيفحص إيه؟
- Container images
- الـ filesystem (المشروع اللي على جهازك)
- Git repositories
- VM images
- Kubernetes
وبيدوّر على إيه؟
- ثغرات معروفة (CVEs) في الـ OS packages والـ dependencies
- أخطاء إعدادات الـ IaC (infrastructure as code)
- الأسرار المتسرّبة زي keys و tokens
- الرخص بتاعة الـ dependencies
- وكمان بيطلّع SBOM (قايمة بكل مكونات السوفتوير)
جرّبه في دقيقتين
- التسطيب على macOS أو Linux بـ Homebrew، أو شغّله من الـ Docker image الرسمية:
brew install trivy
# أو
docker run aquasec/trivy
- افحص image:
trivy image python:3.4-alpine
- افحص المشروع كله مرة واحدة، ثغرات وأسرار وإعدادات:
trivy fs --scanners vuln,secret,misconfig .
- وفيه
trivy k8sلفحص الكلاستر، و GitHub Action رسمي عشان تحطه في الـ CI.
خلي بالك: درس من Trivy نفسه
في 19 مارس 2026 Trivy نفسه اتعرّض لـ supply chain attack: نزلت نسخة خبيثة v0.69.4، و 76 من 77 tag في trivy-action اتحولوا لكود بيسرق الـ secrets من الـ CI. ده موثّق في الـ advisory الرسمي GHSA-69fq-xp46-6x23 (CVE-2026-33634).
الـ advisory بينصح بحاجتين مهمين:
- ثبّت الـ GitHub Actions بـ commit SHA كامل، مش بـ tag زي
v1، لأن الـ tag ممكن يتنقل لكود تاني. - لو كنت بتستخدمه في الفترة دي، اعتبر كل الـ secrets اللي في الـ pipeline مكشوفة وغيّرها.
رأيي
أداة الأمان هي كمان dependency. Trivy أداة ممتازة وتستاهل تبقى جزء من الـ pipeline بتاعك قبل أي deploy، بس استخدمها بنفس الحذر اللي بتطلبه من أي حاجة بتشتغل جوه الـ CI بتاعك: pin بالـ SHA، وصلاحيات قليلة، وراجع الـ advisories.
وانت، بتفحص الـ images بتاعتك قبل الـ deploy؟ بأنهي أداة؟
المصادر
- Trivy
- DevSecOps
- Docker
- Security
- CICD