工数を掛けずに継続的なアプリの脆弱性診断をTrivyで実現した話

こんにちは！CARTA COMMUNICATIONS でエンジニアをしている r-ikoma です！
Trivyを導入することで苦労することなく、セキュリティ診断が可能になります！

Webアプリを成長させたい立場の心情としては「開発を効率化させるための便利なライブラリは導入したい。でも、その脆弱性を常に追い続けることに時間は掛けたくない」ところです。
Trivy を導入することでその辺りが楽になります！

Trivy はコンテナイメージ等に対して、導入しているライブラリの既知の脆弱性を発見してくれるスキャナーになります。（例えばhttpリクエストに使用してるaxios に問題が見つかった！など）
Amazon ECRとGitHubを利用していればざっくり下記のようなの構成で Trivyの診断が活用できます。
開発者がソースコードをプッシュするとdockerイメージがビルドされ、ECRにプッシュされます。そのイメージに対してTrivyが脆弱性診断を実施します。

GitHubを活用していれば、 dependabot による脆弱性の発見が可能ですが、
コード変更をきっかけに診断が実行されることで、開発工程のなかで問題に必ず気づけることに優位性を感じて、今回 Trivy を導入しました！

ということで

Trivyの導入方法
Trivyの導入結果
Trivyの柔軟な設定

に関して書いていきます！

Trivyの導入方法

必要な作業は Gtihub Actions のジョブのステップの一つとして下記を追加するのみです！
severityなどオプションはプロジェクトの方針に応じて適宜設定しましょう。
※usesに指定してあるmasterの部分は適宜公式を参照して安定稼働しているものを活用しましょう。

    - name: Run Trivy vulnerability scanner
      uses: aquasecurity/trivy-action@master
      with:
        image-ref: ${{ steps.build-image.outputs.image }}
        format: "table"
        exit-code: "1"
        ignore-unfixed: true
        vuln-type: "os,library"
        severity: "CRITICAL,HIGH"