# Trivy Snykの代わりになるオープンソース。コンテナと依存関係の脆弱性を検査する。CIに組み込みやすい。 - ossalt.jp のページ: https://ossalt.jp/tools/trivy/ - 公式サイト: https://trivy.dev - GitHub: https://github.com/aquasecurity/trivy - 代わりになるSaaS: Snyk - カテゴリ: 認証・パスワード管理 - ライセンス: Apache-2.0（許容型） - 画面の日本語翻訳: 未確認 - 日本語のドキュメント: 未確認 - Dockerでの導入: あり - GitHubのスター: 39,102（直近32日間で+831） - 最終コミット: 2026-11-06 - OpenSSF Scorecard: 6.4 / 10 ## Trivyとは Trivy（トリビー）は、ソフトウェアに含まれる**既知の脆弱性や、危ない設定を見つける**ための検査ツールです。1つのツールで、コンテナのイメージ、プログラムの依存関係、Kubernetesやインフラの設定ファイルなど、いろいろな対象を検査できます。 ### できること - **コンテナのイメージの検査**：イメージに含まれるOSのパッケージやライブラリに、既知の脆弱性がないかを調べます。 - **依存関係の検査**：プロジェクトが使っているライブラリの脆弱性を調べます。 - **設定ファイルの検査**：Dockerfile、Kubernetesの設定、Terraformなどの書き方に、危ない設定がないかを調べます。 - **秘密の情報の検出**：パスワードやAPIキーが、コードに書き込まれていないかを調べます。 - **SBOMの作成**：使っている部品の一覧（SBOM）を作れます。 ### Snykとの違い Snykは、脆弱性の検査と、修正の提案、管理の画面などを、クラウドのサービスとして提供しています。Trivyは、**コマンドで動く検査の道具**で、自分のパソコンやCIの中で、無料で使えます。検査の結果をまとめて管理したい場合は、[DefectDojo](/tools/defectdojo/)や[Dependency-Track](/tools/dependency-track/)と組み合わせる方法があります。 ### CIでの使い方 CIの中でコンテナのイメージを作ったあとにTrivyで検査し、深刻な脆弱性が見つかったら止める、という使い方が一般的です。最初から厳しくしすぎると、すぐには直せない問題で開発が止まるので、**まず「重大」だけを対象にして、少しずつ広げる**のが無理のない進め方です。 ### 注意点 - 見つかるのは「既知の」脆弱性です。検査で何も出なくても、安全が保証されるわけではありません。 - 脆弱性の情報のデータベースは、検査のたびに更新して使います。古い情報のまま検査しないよう注意してください。 - CIで使う場合は、Trivy自体や、使う部品（GitHub Actionsなど）のバージョンを固定し、更新の内容を確認してから上げると安心です。 - ライセンスはApache-2.0です。 [Snykの代替](/alternatives/snyk/)のページで、ほかの候補も比べられます。 ## よくある質問 **Trivyは日本語で使えますか？** 当サイトでは、画面の日本語翻訳や日本語のドキュメントを確認できていません。翻訳を別の場所で管理している場合もあるため、日本語に対応していないとは限りません。導入前に実際の画面で確かめてください。 **TrivyはDockerで動かせますか？** リポジトリで、Docker用のファイルや公式のコンテナイメージの案内を確認できています。手順は公式のドキュメントに従ってください。 **Trivyは無料で使えますか？ 業務で使ってもよいですか？** ライセンスはApache-2.0（許容型）です。制限の少ない「許容型」のライセンスで、社内の業務で使うことも、改変することも、広く認められています。配布するときは、著作権の表示などの条件を守る必要があります。自分のサーバーで動かす場合も、サーバー代と、アップデートやバックアップなどの運用の手間がかかります。また、一部の機能を有料版だけで提供しているツールもあります。 **Trivyの開発は続いていますか？** 最後の更新は2日前です。過去12か月のリリースは13回です。GitHubのスターは、直近32日間で831増えています。 **Trivyのセキュリティの評価は？** OpenSSF Scorecard（第三者による自動の採点）は10点満点中6.4点です（7.5点以上が良好の目安）。脆弱性の報告窓口（SECURITY.md）があります。導入後は、セキュリティの更新を確実に適用してください。 **Snykの代わりになる、Trivy以外のツールは？** 当サイトでは、Grype、DefectDojo、Dependency-Trackも掲載しています。下の比較表で、ライセンスや更新状況を見比べられます。 --- データ: ossalt.jp（2026-11-08時点。GitHubの公開データとリポジトリの自動調査による）。「未確認」は「非対応」という意味ではありません。導入前に公式の情報を確認してください。