lucasafonsokremer/trivy-vulnerability-exporter

镜像概述

这是一个Prometheus Exporter，旨在收集Kubernetes集群中由trivy（轻量级漏洞扫描工具）检测到的安全漏洞，并将其转换为Prometheus可抓取的指标，以便进行监控、可视化和告警。

核心功能与特性

• trivy集成：深度集成trivy漏洞扫描工具，自动获取集群中容器镜像、节点等组件的漏洞数据
• Prometheus指标导出：将漏洞信息转换为标准Prometheus指标格式，支持Prometheus服务器抓取
• Kubernetes集群支持：专为Kubernetes环境设计，可扫描集群内的Pod、Deployment、StatefulSet等资源
• 灵活配置：支持自定义扫描间隔、关注的漏洞严重级别、扫描范围等参数
• 轻量级部署：容器化设计，易于在Kubernetes集群中部署和扩展

使用场景与适用范围

• Kubernetes集群安全监控：实时跟踪集群内容器镜像的安全漏洞状况
• DevOps安全集成：在CI/CD流程后或集群运行时持续监控漏洞变化
• 安全告警与响应：结合Prometheus Alertmanager实现漏洞告警，及时响应高危漏洞
• 合规审计：为安全合规检查提供量化的漏洞数据支持
• SRE与运维监控：帮助运维团队掌握集群安全状态，优先处理严重漏洞

使用方法与配置说明

基本部署（Docker Run）

bash
docker run -d \
  --name trivy-k8s-exporter \
  -p 9100:9100 \
  -v /path/to/kubeconfig:/kubeconfig \
  -e KUBECONFIG=/kubeconfig \
  -e PROMETHEUS_PORT=9100 \
  -e TRIVY_SCAN_INTERVAL=3600 \  # 扫描间隔（秒），默认3600
  -e TRIVY_SEVERITY=CRITICAL,HIGH \  # 关注的漏洞级别，默认CRITICAL,HIGH
  your-image-name:tag

Docker Compose配置

yaml
version: '3'
services:
  trivy-k8s-exporter:
    image: docker.xuanyuan.run/your-image-name:tag
    container_name: trivy-k8s-exporter
    ports:
      - "9100:9100"
    volumes:
      - /path/to/kubeconfig:/kubeconfig
    environment:
      - KUBECONFIG=/kubeconfig
      - PROMETHEUS_PORT=9100
      - TRIVY_SCAN_INTERVAL=3600
      - TRIVY_SEVERITY=CRITICAL,HIGH
    restart: unless-stopped

Kubernetes部署（示例）

通过Deployment资源部署到Kubernetes集群，建议使用ServiceAccount并绑定适当权限以访问集群资源：

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: trivy-k8s-exporter
  namespace: monitoring
spec:
  replicas: 1
  selector:
    matchLabels:
      app: trivy-k8s-exporter
  template:
    metadata:
      labels:
        app: trivy-k8s-exporter
    spec:
      serviceAccountName: trivy-exporter-sa  # 需提前创建并绑定权限
      containers:
      - name: trivy-k8s-exporter
        image: docker.xuanyuan.run/your-image-name:tag
        ports:
        - containerPort: 9100
        env:
        - name: PROMETHEUS_PORT
          value: "9100"
        - name: TRIVY_SCAN_INTERVAL
          value: "3600"
        - name: TRIVY_SEVERITY
          value: "CRITICAL,HIGH"
---
apiVersion: v1
kind: Service
metadata:
  name: trivy-k8s-exporter
  namespace: monitoring
spec:
  selector:
    app: trivy-k8s-exporter
  ports:
  - port: 9100
    targetPort: 9100

环境变量配置说明

指标说明

导出的主要Prometheus指标包括：

• trivy_k8s_vulnerability_count{severity,resource_type,resource_name,namespace,image}：按严重级别、资源类型、资源名称、命名空间和镜像分组的漏洞数量
• trivy_k8s_last_scan_timestamp{resource_type,resource_name,namespace}：资源最后一次扫描的时间戳
• trivy_exporter_up：Exporter自身健康状态（1=正常，0=异常）