3. Trivy 基础扫描：镜像扫描基础命令、扫描结果解读、常见漏洞类型（CVE、CWE）

Trivy 是一款轻量级、高准确率的开源安全扫描器，被广泛用于容器镜像、文件系统、Git 仓库和 Kubernetes 的漏洞与配置扫描。本章聚焦于 Trivy 最核心的使用场景——容器镜像扫描，涵盖基础命令、输出结果的结构化解读以及漏洞分类体系（CVE / CWE）。

3.1 镜像扫描基础命令

Trivy 的镜像扫描命令格式统一，核心参数包括指定镜像名称、输出格式、严重级别过滤等。以下为最常用的命令组合：

# 扫描本地已拉取的镜像（默认输出表格）
trivy image nginx:1.25

# 扫描远程镜像仓库中的镜像（自动拉取）
trivy image docker.io/library/alpine:3.19

# 指定输出格式为 JSON（便于程序解析）
trivy image --format json --output result.json nginx:1.25

# 仅显示指定严重级别及以上的漏洞（CRITICAL, HIGH）
trivy image --severity CRITICAL,HIGH nginx:1.25

# 跳过漏洞数据库更新（使用本地缓存）
trivy image --skip-db-update nginx:1.25

# 扫描并忽略已修复的漏洞（仅显示未修复项）
trivy image --ignore-unfixed nginx:1.25

3.2 扫描结果解读

Trivy 默认输出表格格式，包含以下关键字段。理解每个字段的含义是进行安全决策的基础。

以下为实际扫描输出的示例片段：

+-------------------+------------------+----------+-------------------+--------------+---------------------------------------+
|     LIBRARY       | VULNERABILITY ID | SEVERITY | INSTALLED VERSION | FIXED VERSION |                TITLE                  |
+-------------------+------------------+----------+-------------------+--------------+---------------------------------------+
| openssl           | CVE-2023-3817    | HIGH     | 3.0.8-r4          | 3.0.8-r5      | openssl: denial of service via ...    |
| libcrypto3        | CVE-2023-4807    | MEDIUM   | 3.0.8-r4          | 3.0.8-r5      | openssl: POLY1305 MAC ...             |
| zlib              | CVE-2023-45871   | CRITICAL | 1.2.13-r1         | 1.2.13-r2     | zlib: integer overflow ...            |
+-------------------+------------------+----------+-------------------+--------------+---------------------------------------+

3.3 常见漏洞类型：CVE 与 CWE

Trivy 扫描结果中主要涉及两类标识：CVE（Common Vulnerabilities and Exposures） 和 CWE（Common Weakness Enumeration）。两者在安全体系中扮演不同角色。

在 Trivy 的 JSON 输出中，CWE 信息位于每个漏洞对象的 cwe_ids 数组中：

{
  "VulnerabilityID": "CVE-2023-3817",
  "PkgName": "openssl",
  "Severity": "HIGH",
  "CweIDs": ["CWE-400"],
  "Title": "openssl: denial of service via ..."
}

3.4 镜像扫描流程与数据流

下图展示了 Trivy 镜像扫描的完整数据流，从镜像层解析到漏洞匹配的全过程：

3.5 常见 CWE 类型与对应缓解措施

在 Trivy 扫描结果中，以下 CWE 类型出现频率最高，了解它们有助于制定针对性的修复策略：

3.6 扫描结果优先级排序

面对大量漏洞时，建议按以下优先级顺序处理：

1. CRITICAL 级别 + 有修复版本：立即升级，阻断最高风险。
2. CRITICAL 级别 + 无修复版本：评估缓解措施（如网络隔离、功能禁用），并持续监控。
3. HIGH 级别 + 有修复版本：纳入当前迭代修复计划。
4. HIGH 级别 + 无修复版本：记录风险，定期复查。
5. MEDIUM / LOW 级别：根据业务影响决定是否修复，或纳入定期维护窗口。