00:00:0087% من صور Docker على Docker Hub تحتوي على ثغرات أمنية خطيرة أو عالية.
00:00:04لذا إحصائياً، الصورة التي أوشكت على نشرها؟
00:00:08أجل، من المحتمل أنها معرضة للخطر في مكان ما، وبطريقة ما.
00:00:11والجزء المخيف هو أنك لن تلاحظ ذلك لأن كل شيء لا يزال يُبنى،
00:00:14وكل شيء لا يزال يعمل. حتى يتوقف فجأة.
00:00:16هذا هو Trivi، أداة مفتوحة المصدر يمكنها العثور على المشكلة في ثوانٍ دون الحاجة لتثبيت.
00:00:21لدينا فيديوهات جديدة باستمرار، لذا تأكد من الاشتراك.
00:00:29لقد حقق Trivi انتشاراً هائلاً على GitHub بأكثر من 32,000 نجمة ويتم استخدامه أكثر فأكثر كل يوم.
00:00:34وقد تتوقع من أداة كهذه أن تفحص الحاويات فقط، لكن لا، إنها تفحص كل شيء فعلياً.
00:00:40الحاويات، أنظمة الملفات المحلية، مستودعات Git، وKubernetes، والأخطاء في الإعدادات، وأي شيء يخطر ببالك.
00:00:45بل إنها الفاحص الافتراضي في GitLab.
00:00:48هذه هي البنية التحتية.
00:00:50وفي الثلاثين ثانية القادمة أو نحو ذلك، سأوضح لك كيفية الاستفادة منها.
00:00:53إنها سهلة بما يكفي لتكون قابلة للاستخدام فعلياً أيضاً.
00:00:56حسناً، لا يوجد تثبيت هنا. الشيء الوحيد الذي فعلته هو نسخ مستودع Git الخاص بهم،
00:01:00وبما أن لديهم حاويات اختبار، يمكننا تشغيلها للاستخدام السريع.
00:01:04الشيء الآخر الوحيد الذي عليك فعله هو فتح Docker.
00:01:07الآن في واجهة الأوامر هنا في VS Code، يمكننا فقط وضع هذا السطر، والذي يمكن العثور عليه في الوثائق.
00:01:12هذا كل ما في الأمر حقاً.
00:01:14يقوم Docker الآن بسحب Trivi وتشغيله وفحص صورة Nginx الرسمية، وها قد انتهينا.
00:01:21ستظهر الثغرات الأمنية الحرجة إذا كانت موجودة أصلاً، هنا تماماً.
00:01:26هنا يبدأ الأمر في إنقاذك، لأنه إذا كان هذا خط إنتاج حقيقي،
00:01:29فأنت لا تريد تقريراً، بل تريد إيقافاً تاماً لهذا البرنامج.
00:01:32الآن، إذا وجد ثغرة أمنية حرجة، فسيعطي رمز الخروج واحد،
00:01:36وسيفشل خط الإنتاج الخاص بك، ومن ثم يتم حظر عملية البناء.
00:01:39لذا، فكرة أن الأدوات الأمنية تبطئك فقط، يغيرها Trivi هنا.
00:01:45هذا يسرع عملك لأنه يمنع الحاجة للتراجع عن التغييرات لاحقاً.
00:01:49حسناً، لكن فحص الحاويات هو الجزء السهل.
00:01:51المشاكل الحقيقية تأتي عادةً مما نرسله من كود.
00:01:54أجل، الحاويات رائعة، لكن الكود السيئ أسوأ.
00:01:57دعونا نفحص ملف Docker كارثي هنا.
00:01:59مرة أخرى، هذا موجود فقط في مستودع Trivi.
00:02:01حسناً، سأنتقل إلى مجلد Trivi demo.
00:02:03الآن يمكنك أن ترى هنا أنه يكتشف الممارسات غير الآمنة والمشاكل مثل الصور الأساسية غير الآمنة،
00:02:07ونقص توجيهات المستخدم، والإعدادات ذات الصلاحيات العالية، والتبعيات القديمة، وغيرها.
00:02:12سوف يلتقط كل هذا من أجلنا.
00:02:14هذا ما تريده في مرحلة التطامل المستمر، وليس بعد النشر بل قبل الدمج.
00:02:18لأنه إذا تم الدمج، فإنه يصبح مشكلة الجميع.
00:02:22الآن قم بإصلاح ملف Docker، وشغله مرة أخرى.
00:02:24كل شيء نظيف وجاهز للانطلاق.
00:02:26وإذا كنت تفكر، “أجل، مستودع الكود الخاص بي ضخم”، فهذا جيد.
00:02:30هذا هو المكان الذي تكون فيه هذه الأداة أكثر فائدة في الواقع،
00:02:32لأن هناك أدوات أخرى سأتطرق إليها بعد قليل.
00:02:35الآن دعونا نوجهها إلى مستودع كامل.
00:02:38فحص نظام الملفات، والتبعيات، والأخطاء في الإعدادات، وكل شيء.
00:02:41بما أنني أستخدم هذا المستودع، يمكننا معرفة ما إذا كان كل شيء على ما يرام تقريباً.
00:02:45إذاً، أين يعيش هذا في روتين العمل اليومي وماذا يفعل الناس به حقاً؟
00:02:50قد تظن أن هذه مجرد أداة فحص لمرة واحدة، لكنها ليست كذلك.
00:02:54يندمج Trivi في الأماكن التي تعمل فيها بالفعل.
00:02:56في التطوير المحلي، هناك إضافة لـ VS Code، وفي التكامل المستمر، ثلاثة أسطر في GitHub Actions.
00:03:02وإذا كنت تستخدم Kubernetes، فإن Trivi operator يفحص تلقائياً كل أعباء العمل في عنقودك.
00:03:07تحتاج فقط إلى أمر واحد في خط الإنتاج الخاص بك.
00:03:09تظهر بعض التقارير أن هجمات سلاسل التوريد ارتفعت بنسبة تزيد عن 400%.
00:03:12لطالما كان المطورون جزءاً من الجانب الأمني، لذا فهذا يساعد كثيراً.
00:03:17أفضل الأدوات الأمنية لا تبطئك، بل تمنع المشاكل وتوفر المزيد من العمل لاحقاً.
00:03:22لقد وجدت أن Trivi رائع جداً، ولكن هل هو حقاً أفضل من غيره؟
00:03:26لأن هناك البعض بالفعل.
00:03:26فلنكن صادقين، هناك فاحصات أخرى متاحة.
00:03:29ربما كنت تستخدمها بالفعل.
00:03:31لدينا Gripe، لكنه للحاويات فقط.
00:03:34ثم هناك Snyk، لكنه مكلف.
00:03:37كلاهما سببان يجعلان الكثيرين يتوجهون إلى Trivi.
00:03:41إنه سريع ومجاني.
00:03:42ويتعامل مع أشياء مثل الحاويات، والأسرار، وSBOMs، وKubernetes، وأنظمة الملفات، وكل ذلك.
00:03:48إنها بمثابة أداة متكاملة شاملة.
00:03:50لذا إذا كان هذا جديداً عليك، أو حتى لو لم يكن كذلك، ما هي آراؤك حول Trivi؟
00:03:53سنراكم في فيديو آخر.