Análise do Dockerfile

Documentação:

https://aquasecurity.github.io/trivy/v0.48/docs/target/container_image/aquasecurity.github.io

Dockerfile:

FROM node:18.16.0
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
EXPOSE 8080
CMD ["node", "server.js"]

Foi feito rollback das dependências dentro do package.json:

{
  "name": "projeto-caotico",
  "version": "1.0.0",
  "description": "",
  "main": "server.js",
  "scripts": {
    "test": "echo \"Error: no test specified\" && exit 1"
  },
  "author": "",
  "license": "ISC",
  "dependencies": {
    "ejs": "3.1.9",
    "express": "4.17.1"  
  } 
}

Scan do projeto:

marcelo@Latitude5440:~/devops-projeto-caotico$ ls
src
marcelo@Latitude5440:~/devops-projeto-caotico$ trivy config src/

O Trivy não verifica a imagem, pois ele está tratando o Dockerfile para saber se ele está seguindo as boas práticas.

Nesta verificação ele detectou a necessidade de especificar o USER command e adicionar HEALTHCHECK ao Docker file, com link para cada recomendação.

Ajustes

Inserir USER e HEALTCHECK no Docker file e verificar a configuração novamente.

Dockerfile:

FROM node:18.16.0
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
EXPOSE 8080
USER marcelo
HEALTHCHECK --interval=30s --timeout=30s --start-period=5s --retries=3 CMD [ "executable" ]
CMD ["node", "server.js"]

Verificar configuração: