00:00:00Docker Hub पर 87% Docker इमेजेस में गंभीर या उच्च स्तर की खामियां हैं।
00:00:04तो सांख्यिकीय रूप से, वह इमेज जिसे आप तैनात करने वाले हैं?
00:00:08हाँ, यह शायद कहीं न कहीं, किसी न किसी तरह असुरक्षित है।
00:00:11और डरावनी बात यह है कि आपको पता भी नहीं चलेगा क्योंकि सब कुछ अभी भी बिल्ड होता है,
00:00:14सब कुछ अभी भी चलता है। जब तक कि वह रुक न जाए।
00:00:16यह Trivi है, एक ओपन सोर्स टूल जो बिना किसी इंस्टालेशन के सेकंडों में समस्या ढूंढ सकता है।
00:00:21हमारे वीडियो हर समय आते रहते हैं, सब्सक्राइब करना न भूलें।
00:00:29Trivi GitHub पर 32,000 से अधिक स्टार्स के साथ बहुत लोकप्रिय हुआ है और इसका उपयोग हर दिन बढ़ रहा है।
00:00:34और आप उम्मीद करेंगे कि ऐसा टूल केवल कंटेनरों को स्कैन करेगा, लेकिन नहीं, यह वास्तव में सब कुछ स्कैन करता है।
00:00:40कंटेनर, लोकल फाइल सिस्टम, Git रेपो, Kubernetes, गलत कॉन्फ़िगरेशन, आप बस नाम लें।
00:00:45और यह GitLab में डिफॉल्ट स्कैनर भी है।
00:00:48यह इंफ्रास्ट्रक्चर है।
00:00:50और अगले 30 सेकंड या उससे कुछ अधिक समय में, मैं आपको दिखाऊंगा कि इसे काम में कैसे लाया जाए।
00:00:53यह इसे वास्तव में उपयोगी बनाने के लिए काफी आसान है।
00:00:56ठीक है, यहाँ कोई इंस्टाल नहीं है। मैंने जो एकमात्र काम किया वह उनका Git रेपो क्लोन करना था,
00:01:00चूंकि उनके पास टेस्ट कंटेनर हैं, हम इसे तुरंत उपयोग के लिए चला सकते हैं।
00:01:04सिर्फ एक और काम जो आपको करना है वह है Docker खोलना।
00:01:07अब VS Code में मेरे टर्मिनल में, हम बस यह लाइन डाल सकते हैं, जो डॉक्यूमेंट्स में मिल सकती है।
00:01:12बस इतना ही।
00:01:14Docker अब Trivi को पुल करता है, इसे चलाता है, आधिकारिक Nginx इमेज को स्कैन करता है, और बस।
00:01:21गंभीर खामियां, यदि कोई हों, तो यहीं सामने आ जाएंगी।
00:01:26यहीं से यह आपको बचाना शुरू करता है, क्योंकि अगर यह एक वास्तविक पाइपलाइन है,
00:01:29तो आप रिपोर्ट नहीं चाहते, आप उस प्रोग्राम पर पूरी तरह रोक चाहते हैं।
00:01:32अब, यदि इसे कोई गंभीर खामी मिलती है, तो एक्जिट कोड एक,
00:01:36आपकी पाइपलाइन फेल हो जाएगी, और फिर बिल्ड ब्लॉक हो जाएगा।
00:01:39तो, वह बात जो आप सोचते थे कि सुरक्षा उपकरण आपको धीमा कर देते हैं, Trivi इसे यहाँ बदल देता है।
00:01:45यह आपकी गति बढ़ाता है क्योंकि यह बाद में होने वाले रोलबैक को रोकता है।
00:01:49अब, यह तो ठीक है, लेकिन कंटेनर स्कैनिंग आसान हिस्सा है।
00:01:51असली समस्याएँ अक्सर उससे आती हैं जो हम कमिट करते हैं।
00:01:54तो हाँ, कंटेनर अच्छे हैं, लेकिन खराब कोड उससे भी बुरा है।
00:01:57आइए यहाँ एक खराब Docker फाइल को स्कैन करें।
00:01:59फिर से, यह सिर्फ Trivi रेपो में है।
00:02:01ठीक है, मैं Trivi डेमो में cd करने जा रहा हूँ।
00:02:03अब आप यहाँ देख सकते हैं कि यह असुरक्षित प्रथाओं और समस्याओं को पकड़ता है जैसे असुरक्षित बेस इमेज,
00:02:07मिसिंग यूजर डायरेक्टिव्स, प्रिविलेज्ड कॉन्फ़िगरेशन, पुराने डिपेंडेंसीज़, आप जो भी कहें।
00:02:12यह हमारे लिए इन सबको पकड़ लेगा।
00:02:14यही आप CI में चाहते हैं, परिनियोजन (deployment) के बाद नहीं, मर्ज करने से पहले।
00:02:18क्योंकि अगर यह मर्ज हो गया, तो यह सबकी समस्या बन जाता है।
00:02:22अब Docker फाइल को ठीक करें, इसे फिर से चलाएं।
00:02:24यह सब साफ है और जाने के लिए तैयार है।
00:02:26और अगर आप सोच रहे हैं, हाँ, मेरा रेपो बहुत बड़ा है, तो अच्छा है।
00:02:30वास्तव में यह वहीं सबसे अधिक उपयोगी है,
00:02:32क्योंकि वहाँ अन्य उपकरण भी हैं जिनके बारे में मैं अभी बात करने वाला हूँ।
00:02:35अब आइए इसे पूरे रेपो पर लक्षित करें।
00:02:38फाइल सिस्टम स्कैन, डिपेंडेंसीज़, गलत कॉन्फ़िगरेशन, सब कुछ।
00:02:41चूंकि मैं इस रेपो का उपयोग कर रहा हूं, हम देख सकते हैं कि क्या सब कुछ ठीक-ठाक है।
00:02:45तो यह वास्तव में रोज़मर्रा के काम में कहाँ रहता है और लोग इसके साथ वास्तव में क्या कर रहे हैं?
00:02:50आपको लगेगा कि यह केवल एक बार स्कैन करने वाला टूल है, लेकिन ऐसा नहीं है।
00:02:54Trivi उन जगहों पर फिट बैठता है जहाँ आप पहले से काम करते हैं।
00:02:56लोकल डेवलपमेंट में, VS कोड एक्सटेंशन है; CI में, GitHub एक्शन्स की तीन लाइनें।
00:03:02और यदि आप Kubernetes में हैं, तो Trivi ऑपरेटर आपके क्लस्टर के हर वर्कलोड को ऑटो-स्कैन करता है।
00:03:07आपको अपनी पाइपलाइन में बस एक कमांड की ज़रूरत है।
00:03:09कुछ रिपोर्ट दिखा रही हैं कि सप्लाई चेन हमले 400% से अधिक बढ़ गए हैं।
00:03:12डेवलपर्स हमेशा से सुरक्षा का हिस्सा रहे हैं, इसलिए यह मदद करता है।
00:03:17सबसे अच्छे सुरक्षा उपकरण आपको धीमा नहीं करते, वे समस्याओं और भविष्य के काम को रोकते हैं।
00:03:22मुझे Trivi काफी अच्छा लगा, लेकिन क्या यह वास्तव में दूसरों से बेहतर है?
00:03:26क्योंकि और भी कुछ हैं।
00:03:26तो ईमानदारी से कहें तो, बाहर अन्य स्कैनर्स भी हैं।
00:03:29हो सकता है कि आप पहले से ही उनका उपयोग कर रहे हों।
00:03:31हमारे पास Grype है, लेकिन यह केवल कंटेनरों के लिए है।
00:03:34फिर Snyk है, लेकिन उसमें पैसे लगते हैं।
00:03:37ये दोनों ही कारण हैं कि कई अन्य लोग Trivi की ओर रुख कर रहे हैं।
00:03:41यह तेज़ है, यह मुफ़्त है।
00:03:42यह कंटेनर, सीक्रेट, SBOMs, Kubernetes फाइल सिस्टम जैसी चीज़ों को संभालता है।
00:03:48यह एक तरह का अधिक ऑल-इन-वन टूल है।
00:03:50तो क्या यह आपके लिए नया है? यदि नहीं, तो Trivi पर आपके क्या विचार हैं?
00:03:53मिलते हैं आपसे दूसरे वीडियो में।