devsecops on Astroicers Blog

Grype 容器漏洞掃描工具

Fri, 22 May 2026 00:00:00 +0000

專案簡介

Grype 是 Anchore 開發的容器映像漏洞掃描工具，可掃描容器映像、檔案系統、SBOM 中的已知漏洞。與 Syft 整合使用，是容器安全的重要工具。

GitHub Stars: 11K+

主要功能

容器掃描 - 掃描 Docker/OCI 映像
檔案系統 - 掃描本地目錄
SBOM 掃描 - 掃描 SBOM 檔案
多資料庫 - CVE、NVD、GitHub Advisory
CI/CD 整合 - 易於自動化

安裝

快速安裝

1

curl -sSfL https://raw.githubusercontent.com/anchore/grype/main/install.sh | sh -s -- -b /usr/local/bin

Homebrew

1

brew install grype

Docker

1

docker run --rm anchore/grype:latest --help

基本使用

掃描容器映像

1
2
3
4
5
6
7
8


# 從 Registry
grype nginx:latest

# 從本地 Docker
grype docker:nginx:latest

# 從 tar 檔案
grype docker-archive:image.tar

掃描目錄

1

grype dir:/path/to/project

掃描 SBOM

1
2
3
4
5


# 先產生 SBOM
syft nginx:latest -o json > sbom.json

# 掃描 SBOM
grype sbom:sbom.json

輸出格式

表格（預設）

1

grype nginx:latest

輸出範例：

1
2
3


NAME INSTALLED FIXED-IN TYPE VULNERABILITY SEVERITY
libssl3 3.0.2 3.0.7 deb CVE-2022-3786 High
zlib1g 1:1.2.11 1:1.2.13 deb CVE-2022-37434 Critical

JSON

1

grype nginx:latest -o json > results.json

SARIF

1

grype nginx:latest -o sarif > results.sarif

CycloneDX

1

grype nginx:latest -o cyclonedx > results.xml

過濾和忽略

嚴重程度過濾

1
2


# 只顯示 High 和 Critical
grype nginx:latest --only-fixed --fail-on high

忽略規則

1
2
3
4
5
6
7
8


# .grype.yaml
ignore:
 - vulnerability: CVE-2022-12345
 - vulnerability: CVE-2022-67890
 fix-state: not-fixed
 - package:
 name: openssl
 type: deb

使用忽略檔

1

grype nginx:latest --config .grype.yaml

CI/CD 整合

GitHub Actions

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


name: Security Scan
on: push

jobs:
 scan:
 runs-on: ubuntu-latest
 steps:
 - uses: actions/checkout@v4

 - name: Build Image
 run: docker build -t myapp:${{ github.sha }} .

 - name: Scan Image
 uses: anchore/scan-action@v3
 with:
 image: myapp:${{ github.sha }}
 fail-build: true
 severity-cutoff: high

 - name: Upload SARIF
 uses: github/codeql-action/upload-sarif@v2
 with:
 sarif_file: results.sarif

GitLab CI

1
2
3
4
5
6
7
8


security-scan:
 stage: security
 image: anchore/grype:latest
 script:
 - grype $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA --fail-on high -o json > grype-report.json
 artifacts:
 paths:
 - grype-report.json

Jenkins

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


pipeline {
 agent any
 stages {
 stage('Security Scan') {
 steps {
 sh '''
 docker run --rm \
 -v /var/run/docker.sock:/var/run/docker.sock \
 anchore/grype:latest \
 docker:myapp:latest \
 --fail-on high
 '''
 }
 }
 }
}

與 Syft 整合

產生和掃描 SBOM

1
2
3
4
5
6
7
8


# 產生 SBOM
syft nginx:latest -o spdx-json > sbom.json

# 掃描 SBOM
grype sbom:sbom.json

# 或一行完成
syft nginx:latest -o json | grype

工作流程

1

Image → Syft → SBOM → Grype → Vulnerabilities

資料庫管理

更新資料庫

1

grype db update

檢查狀態

1

grype db status

資料庫位置

1
2
3
4
5


# 預設
~/.cache/grype/db

# 自訂
export GRYPE_DB_CACHE_DIR=/custom/path

進階設定

設定檔

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# .grype.yaml
check-for-app-update: false
fail-on-severity: high
only-fixed: true
scope: all-layers
output: json

db:
 auto-update: true
 cache-dir: /custom/cache

log:
 level: warn

掃描範圍

1
2
3
4
5


# 所有層（預設）
grype nginx:latest --scope all-layers

# 只掃描最終層
grype nginx:latest --scope squashed

漏洞資料來源

支援的資料庫

來源	涵蓋範圍
Alpine SecDB	Alpine 套件
Amazon Linux Security	Amazon Linux
Debian Security	Debian 套件
GitHub Advisories	各語言套件
NVD	全面 CVE
Red Hat Security	RHEL/CentOS
Ubuntu Security	Ubuntu 套件

最佳實踐

建置流程整合

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


#!/bin/bash
set -e

# 建置映像
docker build -t myapp:latest .

# 產生 SBOM
syft myapp:latest -o spdx-json > sbom.json

# 掃描漏洞
grype sbom:sbom.json --fail-on high

# 通過後推送
docker push myapp:latest

定期掃描

1
2


# Cron job
0 0 * * * grype docker:production-app:latest --fail-on critical -o json >> /var/log/grype-scans.log

Trivy 容器安全掃描工具

Thu, 26 Mar 2026 00:00:00 +0000

專案簡介

Trivy 是 Aqua Security 開發的全方位安全掃描工具。支援容器映像、檔案系統、Git 儲存庫、Kubernetes 等多種目標，可檢測漏洞、錯誤設定和機密資訊。

GitHub Stars: 31K+

主要功能

漏洞掃描 - CVE、安全公告
錯誤設定檢測 - Dockerfile、K8s、Terraform
機密掃描 - API 金鑰、密碼、憑證
SBOM 生成 - 軟體物料清單
授權合規 - 開源授權檢查

安裝

Homebrew

1

brew install trivy

APT

1
2
3
4
5


sudo apt-get install wget apt-transport-https gnupg lsb-release
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add -
echo deb https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main | sudo tee -a /etc/apt/sources.list.d/trivy.list
sudo apt-get update
sudo apt-get install trivy

Docker

1

docker pull aquasec/trivy

容器映像掃描

基本掃描

1

trivy image nginx:latest

指定嚴重度

1

trivy image --severity CRITICAL,HIGH nginx:latest

忽略未修復漏洞

1

trivy image --ignore-unfixed nginx:latest

掃描本地映像

1

trivy image --input image.tar

掃描私有 Registry

1
2
3
4


# 使用環境變數認證
export TRIVY_USERNAME=user
export TRIVY_PASSWORD=password
trivy image private-registry.com/image:tag

檔案系統掃描

掃描目錄

1

trivy fs /path/to/project

掃描 Git 儲存庫

1

trivy repo https://github.com/user/repo

掃描 Rootfs

1

trivy rootfs /

IaC 掃描

Terraform

1

trivy config /path/to/terraform

Kubernetes

1

trivy config /path/to/k8s-manifests

Dockerfile

1

trivy config --file-patterns "Dockerfile:dockerfile" /path/to/project

常見錯誤設定

以 root 運行容器
使用 latest 標籤
缺少資源限制
暴露敏感端口

機密掃描

啟用機密掃描

1

trivy fs --scanners secret /path/to/project

自訂規則

1
2
3
4
5
6
7


# trivy-secret.yaml
rules:
 - id: custom-api-key
 category: general
 title: Custom API Key
 severity: HIGH
 regex: 'CUSTOM_API_KEY\s*=\s*["\']([^"\']+)["\']'

1

trivy fs --secret-config trivy-secret.yaml /path/to/project

SBOM 生成

CycloneDX 格式

1

trivy image --format cyclonedx -o sbom.json nginx:latest

SPDX 格式

1

trivy image --format spdx-json -o sbom.json nginx:latest

掃描 SBOM

1

trivy sbom sbom.json

CI/CD 整合

GitHub Actions

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


name: Security Scan
on: [push, pull_request]
jobs:
 trivy:
 runs-on: ubuntu-latest
 steps:
 - uses: actions/checkout@v4

 - name: Build image
 run: docker build -t myapp:${{ github.sha }} .

 - name: Run Trivy
 uses: aquasecurity/trivy-action@master
 with:
 image-ref: myapp:${{ github.sha }}
 format: 'sarif'
 output: 'trivy-results.sarif'
 severity: 'CRITICAL,HIGH'

 - name: Upload to GitHub Security
 uses: github/codeql-action/upload-sarif@v3
 with:
 sarif_file: 'trivy-results.sarif'

GitLab CI

1
2
3
4
5


trivy:
 image: aquasec/trivy:latest
 script:
 - trivy image --exit-code 1 --severity CRITICAL $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
 allow_failure: true

Jenkins

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


pipeline {
 agent any
 stages {
 stage('Security Scan') {
 steps {
 sh '''
 trivy image \
 --format json \
 --output trivy-report.json \
 --severity CRITICAL,HIGH \
 myapp:latest
 '''
 }
 }
 }
}

Kubernetes 掃描

掃描叢集

1

trivy k8s --report summary cluster

掃描特定 Namespace

1

trivy k8s --namespace default --report all

掃描 Workloads

1

trivy k8s --report summary deployments,pods

輸出格式

JSON

1

trivy image --format json -o results.json nginx:latest

Table（預設）

1

trivy image --format table nginx:latest

SARIF

1

trivy image --format sarif -o results.sarif nginx:latest

Template

1

trivy image --format template --template "@contrib/html.tpl" -o report.html nginx:latest

忽略漏洞

.trivyignore

1
2
3
4
5
6


# 忽略特定 CVE
CVE-2023-12345
CVE-2023-67890

# 忽略整個套件
pkg:npm/lodash

內聯忽略

1
2


# trivy:ignore:CVE-2023-12345
FROM nginx:latest

devsecops on Astroicers Blog

Grype 容器漏洞掃描工具

專案簡介

主要功能

安裝

快速安裝

Homebrew

Docker

基本使用

掃描容器映像

掃描目錄

掃描 SBOM

輸出格式

表格（預設）

JSON

SARIF

CycloneDX

過濾和忽略

嚴重程度過濾

忽略規則

使用忽略檔

CI/CD 整合

GitHub Actions

GitLab CI

Jenkins

與 Syft 整合

產生和掃描 SBOM

工作流程

資料庫管理

更新資料庫

檢查狀態

資料庫位置

進階設定

設定檔

掃描範圍

漏洞資料來源

支援的資料庫

最佳實踐

建置流程整合

定期掃描

相關連結

延伸閱讀

Trivy 容器安全掃描工具

專案簡介

主要功能

安裝

Homebrew

APT

Docker

容器映像掃描

基本掃描

指定嚴重度

忽略未修復漏洞

掃描本地映像

掃描私有 Registry

檔案系統掃描

掃描目錄

掃描 Git 儲存庫

掃描 Rootfs

IaC 掃描

Terraform

Kubernetes

Dockerfile

常見錯誤設定

機密掃描

啟用機密掃描

自訂規則

SBOM 生成

CycloneDX 格式

SPDX 格式

掃描 SBOM

CI/CD 整合

GitHub Actions

GitLab CI

Jenkins

Kubernetes 掃描

掃描叢集

掃描特定 Namespace

掃描 Workloads

輸出格式