O que é o Security Gate
O seu scanner encontra as vulnerabilidades de uma imagem, mas não diz há quanto tempo cada uma é pública. Uma CVE crítica publicada ontem e uma publicada há dois meses aparecem iguais no relatório.
O Leavory Security Gate transforma a política de correção do seu time (“críticas em até 7 dias, altas em até 30”) numa regra que roda em toda pipeline:
- lê o relatório JSON do Trivy que a sua pipeline já gera;
- busca a data de publicação de cada CVE ou GHSA na base do Leavory (NVD → CVE.org → GHSA → OSV), com a assinatura conferida;
- calcula há quantos dias cada uma é pública;
- quebra o build (ou só avisa) se alguma CRITICAL ou HIGH passou do limite.
O que fica e o que sai da sua pipeline
Seção intitulada “O que fica e o que sai da sua pipeline”- Nada da pipeline nem do relatório é enviado ao Leavory. O step manda só o seu token, para receber o link de download da base.
- O step roda pela imagem pública
leavory/security-gate, que contém só o binário do Leavory: sem shell e sem root. - O Security Gate nunca é o motivo de uma pipeline parar por falha dele. Se o token faltar, se a imagem ou a base não puderem ser baixadas, ou se o relatório não existir, a checagem é pulada com um aviso.
Requisitos
Seção intitulada “Requisitos”| Item | Detalhe |
|---|---|
| Agente | Linux com Docker. O ubuntu-latest da Microsoft já tem. |
| Relatório | Saída do Trivy em JSON, no mesmo job. |
| Token | Variável secreta LEAVORY_TOKEN na pipeline (como gerar). |