Библиотека девопса | DevOps, SRE, Sysadmin: “💡 Сканируйте образы перед деплоем Вы сделали всё правильно: многоступ…”

💡 Сканируйте образы перед деплоем

Вы сделали всё правильно: многоступенчатая сборка, distroless-образ, non-root пользователь, закреплённый дайджест. Образ компактный. А потом выходит CVE в библиотеке, которую подтянул базовый образ полгода назад.

Сканирование образов закрывает эту дыру. Не нужен отдельный инструмент: Trivy бесплатный, быстрый и нормально вписывается в Go CI.

Как запустить

Одна команда и падаем на HIGH и CRITICAL уязвимостях:

trivy image --exit-code 1 --severity HIGH,CRITICAL myapp:latest

Для GitHub Actions:

- name: Scan image
  uses: aquasecurity/trivy-action@master
  with:
    image-ref: myapp:latest
    exit-code: '1'
    severity: 'HIGH,CRITICAL'

Запускайте после каждой сборки. Поймаете проблему до прода, а не после звонка от безопасников или, что хуже, после инцидента.

📍 Навигация: Вакансии • Задачи • Собесы

🐸 Библиотека devops'a

#арсенал_инженера