00:00:0087% citra Docker di Docker Hub mengandung kerentanan kritis atau tinggi.
00:00:04Jadi secara statistik, citra yang akan Anda luncurkan?
00:00:08Ya, kemungkinan ada celah di suatu tempat, entah bagaimana caranya.
00:00:11Dan bagian yang menakutkan adalah Anda tidak akan sadar karena semuanya masih bisa di-build,
00:00:14semuanya masih berjalan. Sampai akhirnya tidak bisa lagi.
00:00:16Inilah Trivy, alat sumber terbuka yang bisa menemukan masalah dalam hitungan detik tanpa instalasi.
00:00:21Kami merilis video setiap saat, pastikan untuk berlangganan.
00:00:29Trivy telah meledak di GitHub dengan lebih dari 32.000 bintang dan semakin banyak digunakan setiap hari.
00:00:34Dan Anda mungkin mengira alat seperti ini hanya memindai kontainer, tapi tidak, alat ini memindai semuanya.
00:00:40Kontainer, sistem file lokal, repositori Git, Kubernetes, kesalahan konfigurasi, apa pun itu.
00:00:45Dan ini bahkan menjadi pemindai default di GitLab.
00:00:48Ini adalah infrastruktur.
00:00:50Dan dalam 30 detik ke depan, saya akan menunjukkan cara menggunakannya.
00:00:53Ini cukup mudah untuk benar-benar bisa digunakan.
00:00:56Baiklah, tidak ada instalasi di sini. Satu-satunya hal yang saya lakukan adalah mengkloning repositori Git mereka,
00:01:00karena mereka punya kontainer pengujian yang bisa kita jalankan dengan cepat.
00:01:04Satu-satunya hal lain yang harus Anda lakukan adalah membuka Docker.
00:01:07Sekarang di terminal saya di VS Code, kita bisa masukkan baris ini, yang bisa ditemukan di dokumentasi.
00:01:12Hanya itu saja.
00:01:14Docker sekarang menarik Trivy, menjalankannya, memindai citra resmi Nginx, dan bum.
00:01:21Kerentanan kritis akan muncul jika memang ada, tepat di sini.
00:01:26Di sinilah ia mulai menyelamatkan Anda, karena jika ini adalah alur kerja asli,
00:01:29Anda tidak butuh laporan, Anda butuh penghentian paksa pada program tersebut.
00:01:32Nah, jika ditemukan kerentanan kritis, kode keluar satu,
00:01:36alur kerja Anda akan gagal, dan proses build akan diblokir.
00:01:39Jadi, anggapan bahwa alat keamanan hanya memperlambat Anda, Trivy mengubah hal itu di sini.
00:01:45Ini mempercepat Anda karena mencegah proses rollback di kemudian hari.
00:01:49Keren, tapi pemindaian kontainer itu bagian yang mudah.
00:01:51Masalah sebenarnya biasanya datang dari apa yang kita commit.
00:01:54Ya, kontainer itu keren, tapi kode yang buruk itu lebih parah.
00:01:57Mari kita pindai file Docker yang bermasalah di sini.
00:01:59Sekali lagi, ini hanya ada di dalam repositori Trivy.
00:02:01Oke, saya akan masuk ke folder demo Trivy.
00:02:03Sekarang Anda bisa lihat di sini ia mendeteksi praktik tidak aman dan masalah seperti citra dasar yang tidak aman,
00:02:07kurangnya arahan pengguna, konfigurasi hak istimewa, dependensi usang, dan lainnya.
00:02:12Ia akan mendeteksi hal-hal seperti ini untuk kita.
00:02:14Inilah yang Anda inginkan di CI, bukan setelah peluncuran, tapi sebelum penggabungan.
00:02:18Karena jika sudah digabungkan, itu akan menjadi masalah semua orang.
00:02:22Sekarang perbaiki file Docker-nya, lalu jalankan lagi.
00:02:24Semuanya sudah bersih dan siap digunakan.
00:02:26Dan jika Anda berpikir, “Ya, repositori saya besar,” bagus.
00:02:30Justru di situlah alat ini paling berguna,
00:02:32karena ada alat lain di luar sana yang akan saya bahas sebentar lagi.
00:02:35Sekarang mari kita arahkan ke seluruh repositori.
00:02:38Pemindaian sistem file, dependensi, kesalahan konfigurasi, semuanya.
00:02:41Karena saya menggunakan repositori ini, kita bisa melihat apakah semuanya baik-baik saja.
00:02:45Jadi, di mana alat ini berperan sehari-hari dan apa yang sebenarnya orang lakukan dengannya?
00:02:50Anda mungkin mengira ini hanya alat pemindaian sekali pakai, tapi ternyata tidak.
00:02:54Trivy masuk ke dalam tempat-tempat di mana Anda sudah bekerja.
00:02:56Dalam pengembangan lokal, ada ekstensi VS Code; di CI, cukup tiga baris GitHub Actions.
00:03:02Dan jika Anda di Kubernetes, operator Trivy otomatis memindai setiap beban kerja di klaster Anda.
00:03:07Anda hanya butuh satu perintah di alur kerja Anda.
00:03:09Beberapa laporan menunjukkan serangan rantai pasokan naik lebih dari 400%.
00:03:12Pengembang selalu menjadi bagian dari sisi keamanan, jadi ini sangat membantu.
00:03:17Alat keamanan terbaik tidak memperlambat Anda, mereka memblokir masalah dan beban kerja tambahan nantinya.
00:03:22Saya rasa Trivy cukup keren, tapi apakah ini benar-benar lebih baik dari yang lain?
00:03:26Karena memang ada beberapa alat serupa.
00:03:26Jujur saja, ada pemindai lain di luar sana.
00:03:29Mungkin Anda sudah pernah menggunakannya.
00:03:31Ada Grype, tapi itu hanya untuk kontainer.
00:03:34Lalu ada Snyk, tapi itu berbayar.
00:03:37Kedua alasan itulah yang membuat banyak orang beralih ke Trivy.
00:03:41Cepat dan gratis.
00:03:42Ia menangani kontainer, rahasia, SBOM, Kubernetes, sistem file, dan semuanya.
00:03:48Bisa dibilang ini adalah alat serba ada.
00:03:50Jadi, jika ini baru bagi Anda, atau jika sudah tahu, apa pendapat Anda tentang Trivy?
00:03:53Sampai jumpa di video lainnya.