Trivy Output Report là gì?

Trong DevSecOps, việc “quét ra lỗi” chưa đủ — quan trọng hơn là report phải đọc được, chia sẻ được, và tự động hóa được trong CI/CD.
Trivy hỗ trợ nhiều định dạng output, phổ biến nhất là:

• SARIF: chuẩn để đưa lên GitHub Code Scanning / Security tab
• JSON: hợp để parse, đẩy vào hệ thống nội bộ, SIEM, dashboard, hoặc convert sang format khác
• HTML: phù hợp khi cần report dễ đọc cho PM/QA/Team không kỹ thuật, hoặc lưu artifact trên CI

Khi nào dùng SARIF / JSON / HTML?

SARIF (khuyến nghị nếu dùng GitHub)

Dùng khi bạn muốn:

• Hiện findings trong GitHub Security / Code scanning alerts
• Review lỗ hổng ngay trong PR (tuỳ setup)
• Chuẩn hóa theo pipeline compliance

JSON (khuyến nghị để tự động hóa)

Dùng khi bạn muốn:

• Viết rule “fail pipeline nếu CRITICAL/HIGH”
• Tổng hợp theo nhiều repo, tạo dashboard
• Convert sang HTML/CSV/JUnit tùy nhu cầu

HTML (khuyến nghị để share nội bộ)

Dùng khi bạn muốn:

• Một file report “mở là đọc”
• Lưu artifact trên GitLab/Jenkins
• Gửi report cho khách hàng / audit nhanh

Best practice: xuất report trong CI/CD

• Quét image (trước khi deploy) và fs/repo (ngay khi PR)

• Luôn lưu report thành artifact: reports/trivy.*

• Tách 2 luồng:

  1. Security UI (SARIF → GitHub Code Scanning)

  2. Automation (JSON → parse + gate)

  3. Human-readable (HTML → artifact)

Template output report (SARIF/JSON/HTML)

Các lệnh dưới đây là template “copy chạy được”. Bạn chỉ cần thay IMAGE, TARGET, hoặc thêm options.

1) SARIF report (GitHub Code Scanning)

Quét image → xuất SARIF

mkdir -p reports

trivy image \
  --format sarif \
  --output reports/trivy-image.sarif \
  --severity CRITICAL,HIGH,MEDIUM \
  --ignore-unfixed \
  --scanners vuln,misconfig,secret,license \
  IMAGE_NAME:TAG

Quét filesystem/repo → xuất SARIF

mkdir -p reports

trivy fs \
  --format sarif \
  --output reports/trivy-fs.sarif \
  --severity CRITICAL,HIGH,MEDIUM \
  --ignore-unfixed \
  --scanners vuln,misconfig,secret,license \
  .

Gợi ý CI: upload file *.sarif lên GitHub Code Scanning (thường dùng action github/codeql-action/upload-sarif).

2) JSON report (để parse & gate pipeline)

Quét image → xuất JSON

mkdir -p reports

trivy image \
  --format json \
  --output reports/trivy-image.json \
  --severity CRITICAL,HIGH,MEDIUM \
  --ignore-unfixed \
  --scanners vuln,misconfig,secret,license \
  IMAGE_NAME:TAG

“Gate” nhanh: fail pipeline nếu có CRITICAL/HIGH (ví dụ bằng jq)

# Yêu cầu: cài jq
# Fail nếu có bất kỳ finding severity CRITICAL/HIGH
jq -e '
[
.Results[]?
| (.Vulnerabilities[]? | select(.Severity=="CRITICAL" or .Severity=="HIGH")),
(.Misconfigurations[]? | select(.Severity=="CRITICAL" or .Severity=="HIGH")),
(.Secrets[]? | select(.Severity=="CRITICAL" or .Severity=="HIGH"))
] | flatten | length == 0
' reports/trivy-image.json

Nếu command trên trả exit code != 0 → pipeline fail.

3) HTML report (artifact “mở là đọc”)

Trivy có nhiều cách tạo HTML, phổ biến nhất là dùng template.

A) HTML từ JSON + template (khuyến nghị, linh hoạt)

Bước 1: xuất JSON

mkdir -p reports
trivy image --format json --output reports/trivy-image.json IMAGE_NAME:TAG

Bước 2: render HTML bằng template

Lưu ý: trivy convert là cách “đẹp” để convert JSON sang template output. Nếu bản Trivy bạn dùng không có convert, có thể dùng trivy image --format template --template ... trực tiếp.

B) HTML trực tiếp khi scan (nếu bạn muốn 1 bước)

mkdir -p reports

mkdir -p reports

trivy image \
  --format template \
  --template "@template.tpl" \
  --output reports/trivy-report.html \
  IMAGE_NAME:TAG

Mẫu template HTML tối giản (template.tpl)

Template này cố tình gọn, đọc dễ, hợp làm artifact. Bạn có thể mở rộng thêm bảng Misconfig/Secrets.