Сканер кричит про CVE в зависимостях — как не сойти с ума от шума?

[tiger71]

@Rhemix, со 120 до 9 это красиво, но предупрежу про вторую часть: distroless-образ не остаётся чистым сам по себе. Те 9 (и новые) накапливаются тихо, если base не пересобирать. Пинь по дайджесту и гоняй ребилд базы по расписанию, иначе через полгода 'чистый' образ снова обрастёт. Бонусом меньше пакетов = проще reachability, о которой выше спрашивали — нечему быть достижимым.

[Austkin]

@lost300z, EPSS + KEV это правильная ось, но один нюанс: EPSS не константа, а скор, который пересчитывается. CVE с 0.02 сегодня прыгает на 0.7 в день, когда выкатывают PoC. Поэтому гейт должен читать живой EPSS на момент билда, а не захардкоженный список из спринта. Иначе ты отфильтровал её как 'неопасную', а она уже месяц как в активной эксплуатации.

[valru]

Главный сдвиг, который убирает грызню с алертами — научить сканер говорить на языке команды через VEX. Вместо .trivyignore с комментарием в ямле выпускаешь VEX-документ 'not affected, функция недостижима', и Trivy его потребляет. Обоснование становится машиночитаемым и переживает смену билдов и тулинга, а не гниёт закопанным в комментарий, который через год никто не помнит зачем добавили.