该技能基于 Aqua Trivy，面向软件成分分析与容器漏洞扫描，用于发现操作系统包、应用依赖中的 CVE 漏洞，并支持 IaC 配置错误、密钥泄露与许可证检测。安装方式包括 brew install trivy、apt-get install trivy 或 docker pull aquasec/trivy:latest。
主要能力包括：容器镜像扫描（trivy image nginx:latest）、文件系统依赖扫描（trivy fs .）、IaC 配置扫描（trivy config .）、密钥扫描（trivy fs --scanners secret ./app）、许可证扫描（trivy image --scanners license myapp:latest）以及 SBOM 生成（trivy image --format cyclonedx --output sbom.json nginx:latest，或 spdx-json 格式）。可按严重级别过滤（--severity CRITICAL,HIGH），并输出 JSON、SARIF、CycloneDX、SPDX 等格式。
使用方式围绕五类工作流：容器镜像安全评估、依赖漏洞扫描、IaC 安全扫描、CI/CD 集成（提供 GitHub Actions、GitLab CI、Jenkins 等模板）、SBOM 生成。另含基线跟踪（baseline_manager.py）、自定义 OPA 策略（policy_template.rego）、trivy.yaml 配置与 .trivyignore 抑制规则、离线隔离环境扫描等模式。集成点覆盖容器平台（Docker、Kubernetes、Harbor、AWS ECR、Google Artifact Registry）与安全工具生态（SIEM、漏洞管理、SBOM 工具）。
安全与合规方面涉及时敏感数据（凭据、扫描报告、SBOM）、访问控制与审计日志，并对齐 PCI-DSS 6.2、SOC2 CC7.1、NIST 800-53 SI-2、CIS 基准、OWASP Top 10 A06 与 CWE-1104 等要求。限制与注意事项包括：高误报可用 .trivyignore 与 --ignore-unfixed 缓解；大镜像扫描性能可通过缓存目录、--offline-scan、--timeout 优化；私有镜像需配置 registry 认证；部分语言需确保存在依赖清单与锁文件。上述内容均来自资料，未提及价格或收费信息。