Стратегический сдвиг: от tfsec к Trivy
Aqua Security официально объявила о консолидации усилий по обеспечению безопасности инфраструктуры как кода (IaC) в рамках одного продукта — Trivy. Проект tfsec, долгое время бывший стандартом де-факто для статического анализа Terraform-кода, переходит в режим поддержки. Инженерные ресурсы теперь будут направлены исключительно на развитие Trivy, который уже давно поддерживает нативное сканирование Terraform.
Это решение продиктовано целью предоставить пользователям комплексное open-source решение. Вместо использования разрозненных инструментов, разработчики предлагают единый центр для сканирования уязвимостей, контейнеров и конфигураций.
Почему это важно для пользователей tfsec
Переход на Trivy не означает потерю функциональности. Напротив, пользователи получают доступ к более широкому спектру возможностей. Движок, на котором работал tfsec, уже интегрирован в Trivy, но теперь дополнен:
- Мультиязычностью: Trivy поддерживает сканирование не только Terraform, но и других языков IaC (Kubernetes, Docker, ARM, Bicep и др.).
- Экосистемой: Доступ к большему количеству интеграций с CI/CD пайплайнами и облачными сервисами.
- Коммерческой поддержкой: Гарантия развития продукта со стороны Aqua Security и активного сообщества Trivy.
Сравнение возможностей: tfsec vs Trivy
Хотя базовые возможности сканирования Terraform остаются схожими, Trivy предлагает более широкую картину безопасности. Ниже приведена сравнительная таблица ключевых аспектов перехода:
| Критерий | tfsec (текущее состояние) | Trivy (направление развития) |
|---|---|---|
| Фокус сканирования | Исключительно Terraform (HCL) | Мультиплатформенное: Terraform, Kubernetes, Docker, Helm, ARM, Bicep |
| Статус проекта | Архивация активной разработки, поддержка сообщества | Основной продукт для IaC и Misconfigurations |
| Интеграции | GitHub Actions, Azure DevOps, IDE плагины | Расширенная экосистема: K8s, Cloud Providers, CI/CD системы |
| Поддержка | Сообщество (Slack, GitHub) | Сообщество + Коммерческая поддержка Aqua Security |
| Форматы вывода | JSON, SARIF, CSV, CheckStyle, JUnit, Text, Gif | JSON, SARIF, CSV, CheckStyle, JUnit, CycloneDX, SBOM |
Что делать прямо сейчас?
Aqua Security рекомендует начать миграцию немедленно. Для упрощения перехода опубликована Migration Guide, которая объясняет различия в синтаксисе и настройках. tfsec продолжит работать, но новые функции и критические исправления безопасности будут добавляться только в Trivy.
Если вы используете tfsec в CI/CD пайплайнах (например, через GitHub Actions или как Docker-контейнер), следующим шагом должно стать обновление конфигураций на использование образа aquasec/trivy с соответствующими флагами для сканирования IaC.
Исторический контекст
tfsec был рекомендован Thoughtworks Tech Radar в категории Adopt и стал популярным благодаря своей скорости и простоте интеграции. Однако экосистема безопасности эволюционирует, и необходимость в едином агенте для проверки всех аспектов инфраструктуры сделала консолидацию логичным шагом. Теперь сообщество tfsec присоединяется к более чем 10 миллионам пользователей Trivy.
Источник: Github ↗