3. 镜像漏洞扫描：Trivy与Grype工具介绍、漏洞数据库与CVE评级、扫描结果解读与修复策略

容器镜像的漏洞扫描是镜像安全左移的核心实践。本章将深入对比两款主流开源扫描器——Trivy 与 Grype，解析其背后的漏洞数据库与 CVE 评级机制，并系统讲解如何解读扫描结果并制定修复策略。

3.1 扫描工具对比：Trivy vs Grype

Trivy（Aqua Security）与 Grype（Anchore）均支持多操作系统与多语言依赖的扫描，但在架构、更新频率与集成方式上存在差异。下表从关键维度进行对比：

3.2 漏洞数据库与 CVE 评级机制

扫描工具的核心能力取决于其背后漏洞数据库的覆盖范围与更新时效。Trivy 与 Grype 均不直接使用原始 NVD 数据，而是通过聚合多个上游源构建自己的漏洞库。

3.2.1 主要漏洞数据源

• NVD（National Vulnerability Database）：美国国家标准与技术研究院维护，提供 CVE 基础评分（CVSS v2/v3）。
• RedHat OVAL / Security Data：RedHat 官方安全公告，包含 RPM 包级别的修复状态。
• Debian / Ubuntu Security Tracker：Debian 与 Ubuntu 发行版的安全补丁跟踪系统。
• Alpine SecDB：Alpine Linux 的独立安全数据库，格式简洁。
• GitHub Advisory Database：GitHub 维护的漏洞公告，覆盖 npm、PyPI、Maven 等生态。
• Open Source Vulnerabilities (OSV)：Google 主导的开放漏洞格式，支持跨生态匹配。

3.2.2 CVE 评级与 CVSS 评分

CVE（Common Vulnerabilities and Exposures）是漏洞的唯一标识符。CVSS（Common Vulnerability Scoring System）是评估漏洞严重性的标准框架。Trivy 与 Grype 在输出中均会附带 CVSS 评分及评级：

3.3 扫描结果解读与修复策略

扫描工具的输出通常包含漏洞 ID、包名、安装版本、修复版本、严重性评级及数据源。正确解读这些字段是制定修复策略的前提。

3.3.1 典型扫描输出字段解析

以下为 Trivy 的 JSON 输出示例（精简）：

{
  "Results": [
    {
      "Target": "alpine:3.18 (alpine 3.18.5)",
      "Vulnerabilities": [
        {
          "VulnerabilityID": "CVE-2024-1234",
          "PkgName": "openssl",
          "InstalledVersion": "3.0.12-r0",
          "FixedVersion": "3.0.13-r0",
          "Severity": "HIGH",
          "CVSS": {
            "nvd": {
              "V3Score": 7.5
            }
          },
          "Title": "openssl: denial of service via crafted certificate",
          "PrimaryURL": "https://avd.aquasec.com/nvd/cve-2024-1234"
        }
      ]
    }
  ]
}

3.3.2 修复策略分级

根据漏洞严重性与修复可行性，推荐以下分级策略：

• P0（立即修复）：CRITICAL 级别漏洞，且 CVSS 评分 ≥ 9.0。立即停止当前构建，升级基础镜像或替换受影响层，重新扫描验证。
• P1（24-48 小时修复）：HIGH 级别漏洞，或 CRITICAL 但修复版本尚未发布。优先升级，若无法升级则添加 WAF 规则或网络隔离作为临时缓解。
• P2（7 天内修复）：MEDIUM 级别漏洞。纳入下一个迭代计划，升级依赖包或重建镜像。
• P3（按计划修复）：LOW 级别漏洞或仅影响非生产环境的漏洞。记录至安全 backlog，在基础镜像更新时一并处理。

3.3.3 常见修复操作

以下为基于 Dockerfile 的典型修复示例：

# 修复前：使用旧基础镜像
FROM alpine:3.18

# 修复后：升级到包含安全补丁的版本
FROM alpine:3.19

# 或仅升级特定包
RUN apk upgrade --no-cache openssl libcrypto3

对于多阶段构建，需确保最终阶段的所有层均经过扫描。若使用第三方基础镜像，建议定期重建以获取最新补丁。

3.4 扫描结果集成与自动化

将扫描工具集成至 CI/CD 流水线是实现持续安全的关键。以下为 GitLab CI 中集成 Trivy 的示例配置：

trivy-scan:
  stage: test
  image:
    name: aquasec/trivy:latest
    entrypoint: [""]
  variables:
    TRIVY_SEVERITY: "CRITICAL,HIGH"
    TRIVY_EXIT_CODE: "1"
  script:
    - trivy image --severity $TRIVY_SEVERITY --exit-code $TRIVY_EXIT_CODE $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
  only:
    - main
    - merge_requests

该配置在每次合并请求或主分支推送时自动扫描，若发现 CRITICAL 或 HIGH 漏洞则流水线失败，阻止不安全镜像进入生产环境。