Trivy

Utvecklingsverktyg

Trivy är en öppen säkerhetsscanner som söker sårbarheter, IaC-felkonfigurationer, hemligheter och SBOM i kod, containerbilder, filsystem och Kubernetes-kluster. Den drivs av Aqua Security och licensieras under Apache License version 2.

Öppen källkodGo

Betyg 76 Preliminär (källbaserad)

Läs bedömningen
API · Ej hittat

Inget eget HTTP-API; integrationer sker via CLI och utdataformat (JSON/SBOM).

Kontrollerat:

MCP · Officiellt

Repo under aquasecurity-organisationen (samma huvudmaintainer som Trivy).

Trivy MCP Server Plugin · Aqua Security

Källa: https://github.com/aquasecurity/trivy-mcp

Kontrollerat:

Öppna dokumentation

Jämför med alternativ Källor
Trivy 0.76.1 i terminalen på byggservern build01: trivy --version visar version 0.76.1, och trivy fs --scanners vuln,misconfig,secret --table-mode summary . listar rapportens mål – package-lock.json (npm) med 49 sårbarheter, requirements.txt (pip) med 95, Dockerfile med 5 felkonfigurationer, deploy/k8s/portalen-deployment.yaml med 20, portalen-service.yaml med 0, samt config/backup-nyckel.pem och config/production.env med vardera 1 hemlighet
1 / 7 Versionen och en samlad rapport per skanningsmål

Bedömning

Så bedömer vi

Totalbetyg

76

Preliminär (källbaserad)

Bedömningsprofil
CI/CD-pipeline som ska skanna containeravbildningar, IaC-felkonfigurationer och hemligheter och blockera sårbara artefakter.
Bedömningsdatum
Modellversion
3.0.0

  1. Öppenhet och kontroll

    Apache-2.0 verifierad i repots LICENSE; enskild binär utan låsning eller krav på leverantörstjänst.

  2. Funktionell passform

    Täcker sårbarheter, misconfiguration, hemligheter och SBOM i en binär; storskalig rapportering kräver kompletterande plattform.

  3. Dataflytt och interoperabilitet

    Resultat kan exporteras (t.ex. för pipelines) men inget publikt HTTP-API; integrationsytan är CLI-baserad och exportformaten inte fullständigt belagda.

  4. Mognad och trygghet

    Aktivt utvecklat sedan 2019 av Aqua Security med officiell dokumentation; oberoende bekräftelse av säkerhetsrutiner saknas.

  5. Framtidskraft

    Enskild Go-binär är mycket lätt att automatisera i CI/CD; men inget API, SDK eller MCP — automation via CLI-anrop och utdatafiler.

  6. Drift och införande

    Enskild binär/container utan tunga beroenden gör införandet lätt; sårbarhetsdatabaser behöver regelbundna uppdateringar via internet.

  7. Kostnadsbild

    Kostnadsfri öppen källkod utan licenskostnad; stöd- och rapporteringskostnader kräver egen beräkning.

  8. Svensk användbarhet

    Ingen svensk dokumentation, support eller lokalisering belagd; engelskspråkigt CLI.

Om Trivy

Trivy är en öppen säkerhetsscanner som beskriver sig som all-in-one: den söker efter sårbarheter, IaC-felkonfigurationer, hemligheter och licensproblem i kodförråd, binära artefakter, containerbilder och Kubernetes-kluster. En och samma scan täcker både OS-paket och språkspecifika bibliotek, så ni behöver inte köra separata scannrar per kategori.

Täckningen är dokumenterad per område: OS-paket och SBOM, hemligheter, samt felkonfigurationer i Terraform, Dockerfile, CloudFormation och Kubernetes-manifest. Samma verktyg kan alltså köra mot både en containerbild och ett IaC-förråd i samma CI-kedja, och dokumentationen är uppdelad per scantyp och mål så att ni väljer rätt anrop för respektive artefakt. Hemligheterna hittas i kod och artefakter, vilket gör att en läckt API-nyckel kan upptäckas innan den når produktion.

Licensen är Apache License version 2 och projektet underhålls av Aqua Security med öppen utveckling på GitHub och regelbunden releasehistorik. Trivy rapporterar vad den hittar — prioritering och åtgärdsarbete ligger kvar hos ert team. Scanningens värde hänger också på att sårbarhetsdatabaserna hålls löpande uppdaterade, och statisk scanning ersätter inte dynamisk testning av körande applikationer.

Användning

Passar för

  • Scanna containerbilder och filsystem efter kända sårbarheter i OS-paket och bibliotek
  • Upptäcka felkonfigurationer i IaC som Terraform, Dockerfile, CloudFormation och Kubernetes-manifest
  • Hitta hemligheter som läckt ut i kodförråd eller artefakter
  • Generera och kontrollera SBOM i leveranskedjearbete

Passar mindre bra för

  • Om ni behöver dynamisk testning (DAST) av körande applikationer – Trivy skannar statiskt
  • Om ni behöver runtime-skydd i ett körande kluster – det är runtime-säkerhetsverktygens område
  • Om ni förväntar er att scannern prioriterar och åtgärdar åt er – Trivy rapporterar, teamet åtgärdar

Styrkor och begränsningar

Styrkor

  • Flera scantyper – sårbarheter, IaC-felkonfigurationer, hemligheter, licenser, SBOM – i ett verktyg
  • Målen är fria: kodförråd, binära artefakter, containerbilder, filsystem och Kubernetes-kluster
  • Dokumenterad täckning för OS-paket, Terraform, Dockerfile, CloudFormation, Kubernetes och SBOM
  • Apache License version 2 med öppen utveckling under Aqua Security

Begränsningar

  • Verktyget rapporterar fynd; prioritering och åtgärd är ert arbete
  • Värdet bygger på löpande uppdaterade sårbarhetsdatabaser
  • Statisk scanning ersätter inte DAST eller runtime-skydd i en komplett säkerhetsstrategi

Skärmbilder

7 skärmbilder. Välj en bild för att visa den i full storlek. Svep i sidled för fler.

  • Trivy 0.76.1 i terminalen på byggservern build01: trivy --version visar version 0.76.1, och trivy fs --scanners vuln,misconfig,secret --table-mode summary . listar rapportens mål – package-lock.json (npm) med 49 sårbarheter, requirements.txt (pip) med 95, Dockerfile med 5 felkonfigurationer, deploy/k8s/portalen-deployment.yaml med 20, portalen-service.yaml med 0, samt config/backup-nyckel.pem och config/production.env med vardera 1 hemlighet
    Versionen och en samlad rapport per skanningsmål
  • Trivy 0.76.1 i katalogen ~/portalen: trivy fs --scanners vuln --severity CRITICAL --format template --template @tpl/cve-rad.tpl --quiet requirements.txt listar tio kritiska fynd med paket, CVE-id, allvarlighetsgrad, installerad version och åtgärdad version – sju i Pillow 8.0.0 (CVE-2021-25289, CVE-2021-34552, CVE-2022-22817, CVE-2023-50447, CVE-2026-112393, CVE-2026-112403 och CVE-2026-112980) och tre i PyYAML 5.1 (CVE-2019-20477, CVE-2020-14343 och CVE-2020-1747), följt av sammanfattningen Report Summary som visar 61 sårbarheter i requirements.txt med skannern pip
    Kritiska sårbarheter i Python-beroendena
  • Trivy 0.76.1: trivy image --severity CRITICAL --format template --template @tpl/cve-rad.tpl nginx:1.21.6 skriver en rad per kritiskt fynd i den driftade webbserverns avbildning – curl och libcurl4 (CVE-2021-22945, CVE-2022-32207, CVE-2022-32221, CVE-2023-23914, CVE-2023-38545), libdb5.3, libexpat1, libfreetype6, libgnutls30, libgssapi-krb5-2 med flera krb5-bibliotek, libpcre2-8-0, libtasn1-6, libxml2, perl-base och zlib1g, totalt trettio rader med CVE-id, paket, allvarlighetsgrad, installerad Debian-version och åtgärdad version
    Containeravbildningen nginx 1.21.6 genomsökt
  • Trivy 0.76.1: trivy config --severity CRITICAL --quiet Dockerfile visar Report Summary med en felkonfiguration i Dockerfile, sedan kontrollen DS-0031 (CRITICAL) med rubriken Possible exposure of secret env "DB_PASSWORD" in ENV, förklaringen att hemligheter som skickas via build-args, miljövariabler eller kopierade filer kan läcka ut, länken till avd.aquasec.com/misconfig/ds-0031 och kodutsnittet Dockerfile:6 med raden ENV DB_PASSWORD=Nordljus-Portalen-2024
    Hemlighet i Dockerfile fångas som kritisk felkonfiguration
  • Trivy 0.76.1: trivy config --severity HIGH --table-mode summary --quiet deploy/k8s/ visar en felkonfiguration i portalen-deployment.yaml och noll i portalen-service.yaml, och den efterföljande rapporten med tpl/konfig-rad.tpl listar de fyra HIGH-fynden i deploymenten – KSV-0009 Access to host network, KSV-0014 Root file system is not read-only, KSV-0017 Privileged och KSV-0118 Default security context configured, alla med målet portalen-deployment.yaml
    Fyra högrisklarm i Kubernetes-manifesten
  • Trivy 0.76.1: trivy fs --scanners secret --quiet . visar Report Summary där package-lock.json och requirements.txt inte innehåller hemligheter medan config/backup-nyckel.pem och config/production.env innehåller en var, därefter fyndet HIGH AsymmetricPrivateKey (private-key) i config/backup-nyckel.pem rad 2 till 27 med kodutsnittet där nyckelns innehåll maskeras som asterisker – bara rubriken BEGIN PRIVATE KEY syns
    Två hemligheter hittade i repot
  • Trivy 0.76.1: bash ci/sakerhet.sh rapporterar en kritisk sårbarhet i package-lock.json och skriptet avslutar med exit=1 så att bygget stoppas, cat .trivyignore visar de tre rader som kvitterar CVE-2022-29078 (ejs) med motiveringen att mallen bara renderar statiska vyer och att åtgärden ligger i sprint 42, varefter samma CI-steg körs igen med samma ignore-fil och nu rapporterar noll sårbarheter och exit=0
    CI-steget stoppar bygget tills fyndet är kvitterat

Tekniska resurser

Alternativ

Jupyter

Utvecklingsverktyg · Interaktiv beräkningsmiljö i notebook-format

Project Jupyter är ett paraplyprojekt för interaktiv beräkning: notebook-gränssnitt som Jupyter Notebook och JupyterLab, fleranvändarplattformen JupyterHub och öppna standarder för körbara dokument.

Öppen källkodJavaScriptPythonTypeScript
Startår
2015
Licens
BSD 3-Clause License (Modified BSD)
Öppen källkod
Ja
API
REST API
MCP
Både klient och server, Officiellt tillägg

Betyg

92

Preliminär (källbaserad)

Läs bedömningen

Projektdata

13 458GitHub-stjärnor
Visa alla fakta och bedömningarVisa alla fakta
Startår
2015
Licens
BSD 3-Clause License (Modified BSD)Öppen källkod (OSI-godkänd licens) · Repot jupyter/notebook anger BSD 3-Clause License (Modified BSD) och jupyterlab/jupyterlab likaså; PyPI klassar båda paketen som 'License :: OSI Approved :: BSD License'. Projektet är alltså OSI-godkänd öppen källkod (BSD-3-Clause). · Licensmodeller
Öppen källkod
Ja
Plattformar
Windows · macOS · Linux · Webbläsare · containers
API
REST API Verifierat
MCP
Både klient och server, Officiellt tillägg
Export
Finns Notebooks sparas som .ipynb (JSON) och kan exporteras till HTML, PDF, LaTeX, Markdown med flera format med hjälp av nbconvert, ett officiellt Jupyter-projekt. Ej verifierat
Språk
Gränssnitt: Engelska · Dokumentation: Engelska · Support: Engelska
Öppenhet och kontroll Gäller: BSD-3-Clause (OSI), full kodfrihet och öppet notebook-format — inga låsningar.
Funktionell passform Gäller: Interaktiv beräkning och notebooks är exakt Jupyter kärna; täcker användningsfallet utan luckor.
Dataflytt och interoperabilitet Gäller: .ipynb är ett öppet JSON-format, nbconvert exporterar till många format och kernel-protokollet är öppet — fullt portabel.
Mognad och trygghet Gäller: Sedan 2014, industristandard inom data science, mycket stort ekosystem.
Framtidskraft Gäller: Kernel-protokoll, REST-API och nbconvert möjliggör automation.
Drift och införande Gäller: Lätt att installera lokalt; serverdelning (JupyterHub) är väldokumenterad och hanterbar.
Kostnadsbild Gäller: Fri BSD-licens utan avgifter; transparent totalkostnad.
Svensk användbarhet Gäller: Engelskt gränssnitt/dokumentation; ingen svensk lokalisering belagd — tekniskt användbart i Sverige.

Kostnad: .

Faktakontrollerad

Bruno

Utvecklingsverktyg

Bruno är en API-klient som lagrar sina samlingar som vanliga textfiler i projektmappen, så att API-testerna blir en del av kodbasen. För skrivbord och kommandorad.

Öppen källkodJavaScript
Startår
2022
Licens
MIT
Öppen källkod
Ja
API
Annan
MCP
MCP-server, Officiellt tillägg

Betyg

84

Preliminär (källbaserad)

Läs bedömningen

Projektdata

48 093GitHub-stjärnor
Visa alla fakta och bedömningarVisa alla fakta
Startår
2022
Licens
MITÖppen källkod (OSI-godkänd licens) · Avser det öppna GitHub-projektet. Produktfamiljen innehåller även betalda erbjudanden. · Licensmodeller
Öppen källkod
Ja
Plattformar
Windows · macOS · Linux
API
Annan Verifierat
MCP
MCP-server, Officiellt tillägg
Export
Ej verifierat Ej verifierat
Språk
Gränssnitt: Engelska · Dokumentation: Engelska · Support: Engelska
Öppenhet och kontroll Gäller: MIT (OSI), full kodfrihet, offline-first utan molntvång.
Funktionell passform Gäller: API-klient och testning med öppna, filbaserade samlingar täcker användningsfallet fullt ut.
Dataflytt och interoperabilitet Gäller: Samlingar som öppna filer (Bru/JSON) ger god portabilitet; formatet är dock Bruno-specifikt.
Mognad och trygghet Gäller: Sedan 2022, aktivt, men yngre med mindre ekosystem.
Framtidskraft Gäller: CLI och samlingar-som-kod möjliggör automation; agentintegration sker via CLI:et.
Drift och införande Gäller: Desktop-app + CLI, enkel drift.
Kostnadsbild Gäller: Fri MIT-kärna; molntjänster/enterprise valfria.
Svensk användbarhet Gäller: Engelskt gränssnitt/dokumentation; ingen svensk lokalisering belagd.

Kostnad: .

Faktakontrollerad

Källor

  1. trivy.dev
  2. Trivy-dokumentationen
  3. Trivy: Coverage
  4. Trivy: Misconfiguration scanning
  5. aquasecurity/trivy (GitHub)
  6. Trivy-releases (GitHub)
  7. Trivy LICENSE