Trivy para Containers: Como Encontrar Vulnerabilidades antes do Deploy

Imagem de container também precisa de auditoria

Containers simplificam deploy, mas carregam sistema operacional, bibliotecas, runtime e dependências. Uma imagem aparentemente pequena pode conter vulnerabilidades críticas. Trivy é uma ferramenta popular para escanear imagens, arquivos, repositórios, infraestrutura como código e SBOM antes que o problema chegue à produção.

Em ambientes com VPS, Docker, registry privado ou CI self-hosted, Trivy ajuda a colocar segurança no fluxo de entrega. A ideia é descobrir riscos cedo, quando corrigir ainda é barato.

O que escanear

Comece por imagens Docker usadas em produção. Depois inclua Dockerfile, docker-compose, manifests Kubernetes, arquivos Terraform, pacotes do filesystem e dependências de aplicação. Quanto mais cedo o scan roda, menor o custo de correção.

Severidade e contexto

Nem toda vulnerabilidade tem o mesmo risco. Uma falha crítica em biblioteca exposta pela aplicação exige resposta rápida. Uma vulnerabilidade em pacote não usado pode ter prioridade menor. Classifique por severidade, explorabilidade, exposição e impacto no negócio.

CI/CD

O Trivy pode rodar no pipeline e falhar builds acima de determinada severidade. Use esse bloqueio com cuidado no começo, para não paralisar a equipe com centenas de alertas antigos. Uma abordagem prática é criar baseline inicial, corrigir críticos e depois endurecer a regra.

Imagens base

Atualizar a imagem base costuma resolver muitos achados. Prefira bases mantidas, versões fixas e rebuilds regulares. Uma aplicação que não muda há meses ainda pode precisar rebuild para receber correções do sistema.

SBOM e rastreabilidade

Gerar SBOM ajuda a saber quais componentes estão presentes. Em incidentes públicos de segurança, esse inventário acelera resposta. A documentação do Trivy cobre modos de uso e integração.

Conclusão

Trivy não torna a aplicação segura sozinho, mas reduz cegueira. Com scan no CI, revisão de severidade e rebuilds frequentes, containers chegam ao deploy com muito menos risco.