Trivy

#Tổng quan

Dùng Trivy làm cổng kiểm soát (quality gate) trong CI để chặn image có lỗ hổng nghiêm trọng.

#Cài đặt nhanh

brew install trivy   # hoặc dùng image aquasec/trivy

#Kịch bản sử dụng thực chiến

#Chặn build khi có lỗ hổng CRITICAL

trivy image --exit-code 1 --severity CRITICAL myapp:latest

#Sinh SBOM CycloneDX

trivy image --format cyclonedx -o sbom.json myapp:latest

#Tích hợp vào quy trình

• Lưu kết quả dạng JSON/SARIF để đẩy về SIEM hoặc pipeline CI.
• Ghi lại phiên bản công cụ và tham số chạy trong báo cáo để tái lập kết quả.