TrivyDB

Обзор

Статья посвящена созданию базы для триви, ее распространению в пакете или в образе. Предназначена для разработчиков.

Структура

База состоит из 3 репозиториев

1. vuln-list-update - нужен для обновления баз дистрибутивов, пушит в vuln-list

2. vuln-list - хранит базы дистрибутивов

3. trivy-db - создает bbolt базу из vuln-list

Распространение

Предварительные настройки

0. Склонируйте репозиторий апдейтара: git clone https://github.com/alt-cloud/vuln-list-update

1. Склонируйте репозиторий базы: git clone https://github.com/alt-cloud/trivy-db

2. Перейдите в каталог vuln-list-update

3. Получите токен организации alt-cloud для пуша

4. Установите переменную окружения GITHUB_TOKEN

5. Соберите программу командой go build -o vuln-list-update main.go

6. Далее согласно README обновите нужный для вас дистрибутив

7. Перейдите в каталог trivy-db

Распространение в пакете

1. Выполните список команд:

go install go.etcd.io/bbolt/cmd/bbolt@v1.3.5

make db-fetch-langs db-fetch-vuln-list

make build

make db-build

make db-compact

2. Получившуюся базу(trivy.db metadata.json) добавьте в пакет

* Другой способ получения базы - запустить trivy и из каталога ~/.cache/trivy/ забрать базу

Распространение образа

1. В дополнение командам выше выполните:

make db-compress

mv assets/db.tar.gz .

curl -LO https://github.com/oras-project/oras/releases/download/v1.0.0/oras_1.0.0_linux_amd64.tar.gz

tar -xvf ./oras_1.0.0_linux_amd64.tar.gz

2. Зайдите в организацию alt-cloud на ghcr.io через docker login ghcr.io

3. С помощью oras запуште командой:

./oras push ghcr.io/alt-cloud/trivy-db:2 --artifact-type /dev/null:application/vnd.aquasec.trivy.config.v1+json db.tar.gz:application/vnd.aquasec.trivy.db.layer.v1.tar+gzip