Trivy 스캔으로 CI 빌드 실패시키기

이미지에 취약점이 있어도 CI 파이프라인이 초록불로 지나간다면 Trivy의 종료 코드를 안 쓰고 있을 가능성이 큽니다. trivy image는 기본값이 --exit-code 0이라 취약점을 찾아도 리포트만 출력하고 성공으로 끝납니다. 빌드를 막으려면 명시적으로 종료 코드를 올려줘야 합니다.

특정 심각도 이상에서만 실패시키려면 --severity로 범위를 좁히고 --exit-code 1을 같이 줍니다. 파이프라인은 이 종료 코드로 통과/실패를 판단합니다. 아직 패치가 없는 건은 당장 손쓸 수 없으니 --ignore-unfixed로 고칠 수 있는 취약점만 남겨 게이트를 거는 편이 운영에서 덜 피곤합니다.

trivy image --exit-code 1 --severity HIGH,CRITICAL --ignore-unfixed myapp:1.0

주의할 점으로, --severity 기본값은 UNKNOWN,LOW,MEDIUM,HIGH,CRITICAL 전부이고 지정 가능한 값도 이 다섯 개입니다. --exit-code 기본값은 0, --ignore-unfixed 기본값은 false입니다. 즉 종료 코드 플래그를 빼먹으면 스캔은 돌아도 빌드는 절대 안 막히니, 게이트가 걸렸는지 일부러 취약한 이미지로 한 번 확인해보는 게 좋습니다.

🔗 https://trivy.dev/latest/docs/references/configuration/config-file/

🔗 https://trivy.dev/latest/docs/references/configuration/cli/trivy_image/