Trivy 실무 스터디 가이드

1. Trivy란?

Trivy(Aquasecurity)는 컨테이너 이미지, 파일 시스템, Git 저장소, Kubernetes 클러스터, IaC 템플릿 등 다양한 대상에서 취약점(CVE), IaC misconfiguration, 비밀 정보를 탐지하는 오픈소스 보안 스캐너입니다. 단일 바이너리로 배포되며, 빠른 속도와 높은 탐지율로 업계 표준으로 자리잡았습니다.

3대 핵심 능력

2. 왜 써야 하는가?

기존 스캐너(Clair, Snyk, Grype) 대비 Trivy의 강점은 속도, 단일 바이너리, 폭넓은 대상에 있습니다. 아래 비교표를 확인하세요.

3. 핵심 개념

Trivy는 내부적으로 취약점 DB를 주기적으로 업데이트하며, 스캔 시점의 DB 스냅샷을 이용합니다. 아래 아키텍처는 동작 흐름을 나타냅니다.

핵심 용어:

• DB: 취약점 데이터베이스 (약 10MB ~ 30MB, 매일 갱신)
• Parser: 패키지 매니저별 lock file, 이미지 레이어 해석
• Reporter: 결과 포맷 변환 (table, json, sarif 등)
• 정책: IaC misconfiguration 검사 규칙 (OPA Rego)

4. 퀵스타트

4.1 설치

macOS / Linux 권장 방법:

# macOS (Homebrew)
brew install trivy

# Linux (스크립트)
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh

# 검증
trivy --version

Python 환경에서 라이브러리로 사용하려면:

# pip 설치 (실험적)
pip install trivy

4.2 기본 설정 (trivy.yaml)

프로젝트 루트에 trivy.yaml을 두면 자동 로드됩니다.

# trivy.yaml
severity: HIGH,CRITICAL
exit-code: 1
ignorefile: .trivyignore
format: table
vuln-type: os,library
scan:
  skip-dirs:
    - /usr/lib
    - /node_modules

4.3 첫 예제 (Python + CLI)

CLI – 이미지 스캔

# 가장 기본적인 명령어
trivy image python:3.12-slim

# 심각도 필터 + JSON 출력
trivy image --severity HIGH,CRITICAL --format json python:3.12-slim

Python SDK 예제

import trivy

# 이미지 스캔 (간략)
results = trivy.scan_image("python:3.12-slim")
for vuln in results.get("vulnerabilities", []):
    print(f"{vuln['PkgName']} : {vuln['VulnerabilityID']} ({vuln['Severity']})")

# 파일 시스템 스캔
fs_results = trivy.scan_filesystem("/path/to/project")
print(fs_results["metadata"])

5. 핵심 설정 레퍼런스

주요 CLI 옵션과 환경 변수를 표로 정리했습니다.

6. 실무 팁 & 트러블슈팅

7. 참고 자료

• Trivy 공식 문서 – 최신 가이드와 옵션
• GitHub 저장소 – 릴리스 노트, 이슈
• v0.60 문서 – 현재 안정 버전
• Trivy GitHub Action – CI/CD 통합