#!/usr/bin/env python3
"""
Скрипт безопасности Docker-образов для CI/CD.
Требует установки: trivy, docker, python3
"""
import subprocess
import sys
import json
IMAGE_NAME = sys.argv[1]  # Например: myapp:latest
CRITICAL_SEVERITY = "CRITICAL"
HIGH_SEVERITY = "HIGH"
MAX_CRITICAL = 0
MAX_HIGH = 2
def run_trivy_scan(image):
    """Запускает Trivy и возвращает результат в JSON."""
    cmd = ["trivy", "image", "--format", "json", "--quiet", image]
    result = subprocess.run(cmd, capture_output=True, text=True)
    if result.returncode != 0 and "ERROR" not in result.stderr:
        print(f"Ошибка выполнения Trivy: {result.stderr}")
        sys.exit(1)
    return json.loads(result.stdout) if result.stdout else {}
def check_vulnerabilities(trivy_report):
    """Анализирует отчет на наличие уязвимостей."""
    critical_count = 0
    high_count = 0
    for result in trivy_report.get("Results", []):
        for vuln in result.get("Vulnerabilities", []):
            severity = vuln.get("Severity", "")
            if severity == CRITICAL_SEVERITY:
                critical_count += 1
                print(f"🚨 КРИТИЧЕСКАЯ: {vuln.get('VulnerabilityID')} - {vuln.get('Title')}")
            elif severity == HIGH_SEVERITY:
                high_count += 1
                print(f"⚠️ ВЫСОКАЯ: {vuln.get('VulnerabilityID')} - {vuln.get('Title')}")
    return critical_count, high_count
def main():
    print(f"🔍 Начинаю сканирование образа {IMAGE_NAME}...")
    report = run_trivy_scan(IMAGE_NAME)
    critical, high = check_vulnerabilities(report)
    print(f"n📊 Итоги сканирования:")
    print(f"   Критические уязвимости: {critical}")
    print(f"   Высокие уязвимости: {high}")
    if critical > MAX_CRITICAL:
        print(f"❌ Превышено допустимое количество критических уязвимостей ({MAX_CRITICAL})")
        sys.exit(1)
    if high > MAX_HIGH:
        print(f"❌ Превышено допустимое количество высоких уязвимостей ({MAX_HIGH})")
        sys.exit(1)
    print("✅ Проверка безопасности пройдена. Образ может быть использован.")
    sys.exit(0)
if __name__ == "__main__":
    main()

Как это работает в пайплайне: При сборке образа CI-система (Jenkins/GitLab) запускает этот скрипт. Если обнаружены критические уязвимости — сборка падает, разработчик получает уведомление. Это реализует принцип «Security Gate» — качественные ворота безопасности.

✅ Что автоматизация приносит в безопасность

• Скорость реакции: Время на исправление уязвимости сокращается с недель до часов.
• Масштабируемость: Один скрипт может проверять сотни контейнеров одновременно.
• Воспроизводимость: Идентичные проверки на всех этапах (dev, stage, prod).
• Документирование через код: Требования безопасности явно описаны в скриптах и конфигурациях.

⚠️ Новые векторы атак и риски

• Компрометация конвейера: Если злоумышленник получает доступ к CI/CD, он может внедрить бэкдор во все сборки.
• Уязвимости в самих инструментах: Jenkins, GitLab, GitHub Actions имеют свои CVE.
• Небезопасные секреты в коде: Ключи API, пароли, оставленные в скриптах или переменных окружения.
• Избыточное доверие к автоматизации: Ложное чувство безопасности, если не аудируются логи и результаты сканирований.