¿Cómo escanear imágenes de Docker en busca de vulnerabilidades?

Fitness

Estoy construyendo imágenes de Docker en mi pipeline de CI/CD (con GitHub Actions). Me gustaría añadir un paso de seguridad que escanee la imagen final en busca de vulnerabilidades conocidas (en el sistema operativo base, en las librerías, etc.).

He visto herramientas como Trivy, Grype, Snyk... ¿Cuál recomendáis por su facilidad de uso y su integración con GitHub Actions?

Beer

Para empezar, Trivy es la mejor opción. Es de Aqua Security, es open source, súper rápido y muy fácil de usar. Hay una action oficial en el marketplace de GitHub que te permite añadir el escaneo a tu workflow con unas pocas líneas de YAML.

Fitness

Genial, ¿y puede hacer que el pipeline falle si encuentra algo grave?

Beer

Sí, por supuesto. Le puedes pasar parámetros para que falle si encuentra vulnerabilidades de una severidad determinada (por ejemplo, `CRITICAL` o `HIGH`). Es una práctica muy recomendada para no desplegar imágenes inseguras.