Formation Trivy

Programme de notre formation Trivy

[Jour 1 – Matin]

Comprendre la sécurité applicative et prendre en main Trivy

• Terminologie de la sécurité applicative : vulnérabilité, menace, risque, dépendance et chaîne d’approvisionnement logicielle
• Lecture des CVE, du score CVSS et des niveaux de sévérité, distinction entre gravité et risque contextualisé
• Périmètre de Trivy : analyse des dépendances, détection de secrets et contrôle des configurations, distinction avec les tests dynamiques et l’analyse du code source
• Installation et vérification de Trivy, bases de vulnérabilités, cache et sélection explicite des scanners
• Premières commandes image, fs et config, lecture des paquets détectés et des versions corrigées
• Atelier pratique : Scanner une image et un projet de démonstration, repérer une vulnérabilité, un secret factice et une mauvaise configuration, puis expliquer les résultats.

[Jour 1 – Après-midi]

Scanner Docker Hub avec un serveur Trivy sur AWS

• Architecture client-serveur : analyse de l’image côté client, recherche des vulnérabilités côté serveur et maintien des contrôles de secrets et de configurations côté client
• Déploiement du serveur Trivy sur une instance Amazon EC2 de laboratoire, stockage du cache et actualisation des bases
• Protection des communications par tunnel SSH, authentification par jeton et restriction des accès avec les groupes de sécurité AWS
• Accès aux images de Docker Hub depuis le client installé sur EC2, authentification au registre, tags, digests et limites de téléchargement
• Exécution des scans avec –server, filtrage par sévérité et export des résultats au format JSON
• Atelier pratique : Déployer un serveur Trivy sur AWS, connecter un client sur la même instance et analyser deux images de Docker Hub pour comparer leurs vulnérabilités.

[Jour 2 – Matin]

Automatiser les analyses avec GitHub Actions

• Structure d’un workflow GitHub Actions : événements push et pull_request, jobs, runners et étapes de scan
• Récupération du dépôt avec actions/checkout et configuration de trivy-action pour analyser les dépendances, secrets et configurations du projet
• Analyse des dépôts publics et privés, permissions minimales du GITHUB_TOKEN et authentification dédiée pour les accès à un autre dépôt privé
• Sécurisation des workflows : secrets GitHub, restrictions des contributions externes et actions épinglées sur des SHA vérifiés
• Construction puis scan d’une image applicative, gestion du cache et configuration partagée dans trivy.yaml
• Atelier pratique : Créer et exécuter un workflow de scan sur un dépôt public puis sur un dépôt privé, analyser le projet et son image, puis vérifier les permissions et les rapports produits.

[Jour 2 – Après-midi]

Exploiter les résultats et fiabiliser les contrôles

• Définition des seuils de blocage avec severity et exit-code, distinction entre vulnérabilités détectées et erreurs d’exécution
• Publication des rapports JSON en artefacts et des résultats SARIF dans GitHub Code Scanning lorsque les droits et l’offre du dépôt le permettent
• Qualification des alertes : contexte d’exposition, disponibilité d’un correctif, faux positifs et limites de la détection
• Gestion des exceptions documentées, exclusions ciblées, responsables de validation et échéances de réexamen
• Remédiation par mise à jour des dépendances et des images de base, retrait des secrets, correction des configurations et nouveau scan
• Atelier pratique : Faire échouer un workflow sur une vulnérabilité prioritaire, conserver le rapport malgré l’échec, appliquer une correction et valider le nouveau scan avant de nettoyer les ressources AWS.