技能 sca-trivy
🛡️

sca-trivy

安全 🌐 網路存取⚙️ 外部命令📁 檔案系統存取

Escanear contêineres e dependências em busca de vulnerabilidades

O escaneamento manual de dependências e contêineres em busca de vulnerabilidades requer expertise significativa em segurança para interpretar relatórios de CVEs e priorizar correções. Esta habilidade fornece fluxos de trabalho padronizados do Trivy para identificar CVEs, gerar SBOMs e integrar escaneamento de segurança em pipelines de CI/CD.

支援: Claude Codex Code(CC)
📊 71 充足
1

下載技能 ZIP

2

在 Claude 中上傳

前往 設定 → 功能 → 技能 → 上傳技能

3

開啟並開始使用

測試它

正在使用「sca-trivy」。 Scan nginx:latest for critical and high severity vulnerabilities

預期結果:

  • Critical: 3 vulnerabilities found
  • - CVE-2024-39338 (CVSS 9.8): PostgreSQL out-of-bounds write in libpq
  • - CVE-2024-4741 (CVSS 9.8): OpenSSL use after free in SSL_read
  • High: 7 vulnerabilities found
  • - CVE-2024-24786 (CVSS 7.5): Buffer overrun in Google ProtoBuf
  • Remediation: Update base image to nginx:1.25-alpine or later

正在使用「sca-trivy」。 Find vulnerabilities in my Node.js project dependencies

預期結果:

  • Scan results for ./package-lock.json:
  • MEDIUM: 12 vulnerabilities found
  • - CVE-2024-37890 (CVSS 7.5): Prototype pollution in package-name
  • - CVE-2024-21538 (CVSS 6.1): XSS vulnerability in dependency
  • Remediation: Run npm update to patch affected packages

正在使用「sca-trivy」。 Check Terraform files for security issues

預期結果:

  • IaC Misconfigurations in terraform/:
  • HIGH: 2 findings
  • - K8s privilege escalation: Deployment runs privileged container
  • - CIS benchmark: root user specified in container
  • MEDIUM: 4 findings
  • - Resource limits not specified
  • - Missing network policy

安全審計

安全
v5 • 1/16/2026

Documentation-only skill containing markdown guides for Trivy vulnerability scanner usage. No executable code present. This is a knowledge-base skill providing standardized workflows for identifying CVEs, generating SBOMs, and integrating security scanning into CI/CD pipelines. All 86 static findings are false positives - the analyzer misinterpreted documentation examples and legitimate security/compliance terminology as security threats.

2
已掃描檔案
640
分析行數
3
發現項
5
審計總數
審計者: claude 查看審計歷史 →

品質評分

38
架構
100
可維護性
87
內容
21
社群
100
安全
100
規範符合性

你能建構什麼

Avaliação de segurança de contêineres

Executar escaneamentos abrangentes em imagens de contêineres para identificar vulnerabilidades críticas antes da implantação em produção

Segurança de pipeline CI/CD

Integrar escaneamento de vulnerabilidades em pipelines do GitHub Actions ou GitLab CI com saída SARIF e gates de segurança

Documentação de SBOM

Gerar software bill of materials para atender aos requisitos regulatórios e rastrear a procedência dos componentes

試試這些提示

Escaneamento rápido de imagem
Escanear a imagem de contêiner nginx:latest em busca de vulnerabilidades usando Trivy e mostrar resultados por nível de severidade
Auditoria de dependências
Executar escaneamento de sistema de arquivos do Trivy no meu projeto para identificar dependências vulneráveis com pontuações CVSS acima de 7.0
Escaneamento de segurança IaC
Escanear minhas configurações Terraform no diretório infrastructure/ em busca de configurações incorretas de segurança usando Trivy
Gerar SBOM
Gerar um SBOM CycloneDX para minha aplicação e salvá-lo em sbom.json usando Trivy

最佳實務

  • Executar escaneamentos Trivy em pipelines de CI/CD antes de implantar em ambientes de produção
  • Usar filtragem de severidade (CRITICAL,HIGH) para focar em resultados acionáveis inicialmente
  • Gerar SBOMs durante a construção para transparência da cadeia de suprimentos e resposta a incidentes

避免

  • Escanear imagens de produção sem primeiro construir e testar em ambientes de staging
  • Ignorar taxas de falsos positivos sem documentar riscos aceitos em .trivyignore
  • Executar escaneamentos sem armazenar em cache o banco de dados de vulnerabilidades para escaneamentos subsequentes mais rápidos

常見問題

Quais linguagens o Trivy suporta para escaneamento de dependências?
O Trivy suporta Go, Python, Node.js, Java, .NET, PHP, Ruby, Rust e muitas outras linguagens através de arquivos de manifesto de pacotes.
Qual é a versão mínima do Trivy necessária para saída SARIF?
Trivy v0.31.0 ou posterior suporta saída em formato SARIF para integração com a guia de Segurança do GitHub.
Como integro escaneamentos do Trivy ao meu pipeline de CI/CD existente?
Use a aquasecurity/trivy-action para GitHub Actions ou execute o CLI do Trivy diretamente em qualquer sistema de CI com saída JSON ou SARIF.
Meus dados de escaneamento são enviados para servidores externos?
Por padrão, o Trivy baixa seu banco de dados de vulnerabilidades do GitHub, mas os resultados do escaneamento permanecem locais. Configure o modo offline para ambientes isolados.
Por que estou vendo falsos positivos nos resultados do meu escaneamento?
Falsos positivos ocorrem quando CVEs se aplicam a versões ou contextos diferentes. Use arquivos .trivyignore para suprimir falsos positivos confirmados com justificativa.
Como o Trivy se compara a outras ferramentas de SCA como Snyk ou OWASP Dependency-Check?
O Trivy é código aberto, rápido e cobre contêineres, IaC e dependências. O Snyk oferece mais integrações; o Dependency-Check tem suporte a mais linguagens, mas escaneamentos mais lentos.

開發者詳情

檔案結構

📄 SKILL.md