セキュリティの穴を一網打尽！コンテナからクラウドまで対応する万能セキュリティスキャナー — trivy

アーキテクチャ・仕組み

Trivyは「スキャナー」と「ターゲット」という2つの軸で設計されています。ターゲット（スキャン対象）に対して、複数のスキャナーを組み合わせて実行できる仕組みです。

スキャン対象（ターゲット）

• コンテナイメージ: Dockerイメージなど
• ファイルシステム: ローカルのプロジェクトディレクトリ
• Gitリポジトリ: リモートのGitリポジトリ
• 仮想マシンイメージ: VMイメージファイル
• Kubernetes: クラスター全体のスキャン

検出可能な問題（スキャナー）

• SBOM（Software Bill of Materials）: OSパッケージやソフトウェア依存関係の一覧を生成
• 既知の脆弱性（CVE）: 公開済みのセキュリティ脆弱性を検出
• IaC（Infrastructure as Code）の設定ミス: インフラ定義ファイルの誤設定を検出
• 機密情報・シークレット: パスワードやAPIキーなどの漏洩を検出
• ソフトウェアライセンス: 使用しているライブラリのライセンス情報を確認

対応環境・プラットフォーム

• 主要なプログラミング言語、OS、プラットフォームに幅広く対応（詳細は公式ドキュメントのScanning Coverageページを参照）
• Go言語で実装されている（Go Report Cardバッジあり）

連携・エコシステム

• GitHub Actions: trivy-action でCI/CDパイプラインに組み込み可能
• Kubernetes Operator: trivy-operator でKubernetes環境の継続的スキャンが可能
• VS Code拡張: trivy-vscode-extension でエディタ上からスキャン実行可能
• その他多数のツールと連携（公式Ecosystemページを参照）

配布方法

• Homebrew
• Dockerイメージ（Docker Hub / GitHub Container Registry / Amazon ECR）
• バイナリ直接ダウンロード（GitHub Releases）
• Canaryビルド（最新の開発版、本番利用は非推奨）

ライセンス・商用利用

• Apache License 2.0: オープンソースで自由に利用可能
• Aqua Security社がメンテナンスするOSSプロジェクト
• より高機能な商用版「Aqua」も提供されている（Trivyの機能をベースに拡張）

コミュニティ

• GitHub Discussionsで質問やフィードバックが可能
• Code of Conductが定められている

インストール方法

いくつかの方法でインストールできます：

Homebrew（macOS/Linux）：

brew install trivy

Dockerで実行：

docker run aquasec/trivy

バイナリをダウンロード： https://github.com/aquasecurity/trivy/releases/latest/ からダウンロード

基本的な使い方

trivy <対象> [--scanners <スキャナー指定>] <スキャン対象名>

コンテナイメージをスキャン：

trivy image python:3.4-alpine

ローカルプロジェクトを脆弱性・機密情報・設定ミスでスキャン：

trivy fs --scanners vuln,secret,misconfig myproject/

Kubernetesクラスターをスキャン：

trivy k8s --report summary cluster