Trivy Operator Kubernetes: Escaneo de Vulnerabilidades 2026

Trivy Operator Kubernetes es la forma más sencilla de automatizar el escaneo continuo de vulnerabilidades dentro de tu clúster. En lugar de analizar imágenes solo en el pipeline de CI, este operador de Aqua Security vigila permanentemente las cargas que ya están en ejecución y genera informes nativos como recursos de Kubernetes. En esta guía lo instalarás con Helm, entenderás sus informes y aprenderás a integrarlo en tu estrategia de seguridad.

¿Qué es Trivy Operator Kubernetes?

Trivy Operator Kubernetes es un operador de código abierto que ejecuta el popular escáner Trivy de forma nativa dentro del clúster. Su enfoque es continuo: cuando despliegas un pod, el operador lanza automáticamente un análisis de la imagen y guarda el resultado como un recurso personalizado (CRD) llamado VulnerabilityReport. Así, la seguridad deja de ser un control puntual en el pipeline y pasa a ser una vigilancia permanente de lo que realmente corre en producción.

El proyecto nace de Trivy, el escáner de contenedores más adoptado del ecosistema cloud native, y lo lleva un paso más allá al ejecutarlo como un componente permanente del clúster. Esto responde a un problema real: una imagen que era segura el día del despliegue puede volverse vulnerable semanas después, cuando se publica un nuevo CVE en alguna de sus dependencias. Sin un escaneo continuo, ese riesgo pasa completamente desapercibido hasta que es demasiado tarde. El operador elimina ese punto ciego vigilando el estado real de las cargas en todo momento.

Más allá de las vulnerabilidades de las imágenes, Trivy Operator Kubernetes cubre varias dimensiones de seguridad en un solo despliegue:

• Vulnerabilidades (CVE): analiza los paquetes del sistema operativo y las dependencias de la aplicación.
• Auditoría de configuración: revisa buenas prácticas de los manifiestos con ConfigAuditReport.
• Secretos expuestos: detecta credenciales incrustadas en las imágenes.
• Evaluación de RBAC y cumplimiento: comprueba permisos excesivos y estándares como CIS Benchmarks.

Esta cobertura convierte a Trivy Operator Kubernetes en un complemento ideal de otras herramientas de gobierno como las políticas que ya vimos en nuestra guía de Kyverno para políticas como código.

Arquitectura de Trivy Operator Kubernetes

Entender cómo trabaja Trivy Operator Kubernetes te ayuda a dimensionar recursos y a interpretar sus informes. El operador sigue el patrón controller: observa eventos del clúster y reacciona creando trabajos de escaneo bajo demanda.

• Controlador: vigila deployments, pods y otros recursos, y decide cuándo escanear.
• Jobs de escaneo: pods efímeros que ejecutan Trivy sobre una imagen concreta.
• CRDs de informes: almacenan los resultados como objetos de Kubernetes consultables con kubectl.
• Exportador de métricas: publica el número de vulnerabilidades por severidad para Prometheus.

Al guardar los resultados como recursos nativos, cualquier herramienta que hable con la API de Kubernetes puede consumirlos: paneles, alertas o pipelines de GitOps. Esta es la gran diferencia frente a escanear solo en CI, donde el resultado se pierde tras el build.

Requisitos previos

Para seguir esta guía de Trivy Operator Kubernetes necesitas un entorno básico ya funcional. El operador es ligero, pero conviene tener margen de recursos para los jobs de escaneo.

• Un clúster de Kubernetes 1.24 o superior (sirve minikube, kind o uno gestionado).
• kubectl configurado y con acceso de administrador al clúster.
• Helm 3 instalado para desplegar el chart oficial.
• Salida a Internet desde los nodos para descargar las bases de datos de vulnerabilidades.

Si todavía no dominas Helm, te vendrá bien nuestra guía de Helm para gestionar charts en Kubernetes antes de continuar con la instalación.

Instalar Trivy Operator Kubernetes con Helm

El método recomendado para desplegar Trivy Operator Kubernetes es el chart oficial de Aqua Security. Primero añadimos el repositorio de Helm y actualizamos el índice de charts disponibles.

helm repo add aqua https://aquasecurity.github.io/helm-charts/
helm repo update

Con el repositorio disponible, instalamos el operador en su propio espacio de nombres trivy-system. El indicador --create-namespace lo crea si no existe, manteniendo aislados los componentes de seguridad.

helm install trivy-operator aqua/trivy-operator \
  --namespace trivy-system \
  --create-namespace \
  --set="trivy.ignoreUnfixed=true" \
  --version 0.24.0

La opción trivy.ignoreUnfixed=true es muy útil: filtra las vulnerabilidades que todavía no tienen parche disponible, para que tu equipo se centre en lo accionable. Verifica que el operador arrancó correctamente comprobando sus pods.

kubectl get pods -n trivy-system
kubectl get crds | grep aquasecurity

Deberías ver el pod del operador en estado Running y varios CRDs registrados. En ese momento, Trivy Operator Kubernetes ya está escaneando de forma automática todas las cargas del clúster.

Consultar informes de Trivy Operator Kubernetes

Tras unos minutos, el operador habrá generado los primeros informes. Como son recursos nativos, se consultan con kubectl igual que cualquier otro objeto. Empecemos listando los informes de vulnerabilidades de todos los espacios de nombres.

kubectl get vulnerabilityreports -A
kubectl get configauditreports -A

El primer comando muestra un resumen con el número de vulnerabilidades críticas, altas, medias y bajas por carga de trabajo. Para profundizar en un informe concreto, descríbelo o expórtalo a YAML y localiza los CVE detectados.

# Ver el detalle de un informe concreto
kubectl describe vulnerabilityreport -n default 

# Extraer solo los CVE críticos en formato JSON
kubectl get vulnerabilityreports -A -o json \
  | jq '.items[].report.vulnerabilities[] | select(.severity=="CRITICAL") | .vulnerabilityID'

Con esta información puedes priorizar parches, actualizar imágenes base o bloquear despliegues que superen un umbral de riesgo. La ventaja de Trivy Operator Kubernetes es que estos datos están siempre actualizados, no dependen de recordar lanzar un escaneo manual.

Personalizar el escaneo de Trivy Operator Kubernetes

La configuración por defecto es un buen punto de partida, pero en clústeres reales conviene ajustar el comportamiento de Trivy Operator Kubernetes a tu volumen de cargas y a tus políticas internas. Toda la configuración se gestiona mediante valores del chart de Helm o un ConfigMap, sin tocar el código del operador.

Los ajustes que más impacto tienen en el día a día son los siguientes:

• Severidades a reportar: con trivy.severity defines si te interesan solo CRITICAL,HIGH o también las medias y bajas, reduciendo el ruido.
• Concurrencia de escaneos: scanJobsConcurrentLimit limita cuántos jobs se ejecutan a la vez para no saturar los nodos.
• Espacios de nombres excluidos: puedes ignorar namespaces de sistema donde el escaneo no aporta valor.
• Informes de cumplimiento: el CRD ClusterComplianceReport evalúa el clúster frente a estándares como CIS Kubernetes Benchmark o NSA.

Por ejemplo, para revisar el estado de cumplimiento del clúster frente a los CIS Benchmarks, basta con consultar el informe agregado que genera el operador. Este informe resume, en un único recurso, qué controles se cumplen y cuáles requieren atención.

kubectl get clustercompliancereport
kubectl describe clustercompliancereport cis

Gracias a esta flexibilidad, Trivy Operator Kubernetes se adapta tanto a un homelab con un puñado de pods como a una plataforma empresarial con cientos de microservicios. Empieza con una configuración conservadora y ve afinando severidades y frecuencia según la capacidad de respuesta de tu equipo de seguridad.

¿Por qué elegir Trivy Operator Kubernetes?

Existen varias soluciones de seguridad para clústeres, pero Trivy Operator Kubernetes destaca por combinar cobertura amplia, integración nativa y coste cero de licencia. A diferencia de los escáneres que solo actúan en el pipeline, este operador aporta visibilidad continua de lo que está realmente en ejecución, algo esencial cuando aparecen vulnerabilidades nuevas en imágenes que llevan semanas desplegadas.

Comparado con alternativas comerciales, su principal ventaja es que no te ata a un proveedor: los informes son recursos estándar de Kubernetes, así que puedes construir tus propios paneles, alertas y automatizaciones sin depender de una plataforma externa. Además, al pertenecer al ecosistema de Trivy, hereda una base de datos de vulnerabilidades muy actualizada y ampliamente reconocida en la industria. Para equipos que adoptan un enfoque DevSecOps, esta autonomía es determinante.

Integrar métricas con Prometheus

Trivy Operator Kubernetes expone métricas en formato Prometheus, lo que permite crear alertas cuando aparece una vulnerabilidad crítica nueva. Si ya tienes monitorización, solo necesitas que Prometheus haga scrape del endpoint del operador.

# Métrica de ejemplo expuesta por el operador
trivy_image_vulnerabilities{severity="Critical"}  3
trivy_image_vulnerabilities{severity="High"}      12

Con estas series temporales puedes construir un panel en Grafana que muestre la evolución del riesgo del clúster y disparar avisos automáticos. Para montar la base de monitorización, revisa nuestra guía de Prometheus en Kubernetes paso a paso. Así cierras el ciclo: detectar, medir y alertar.

Flujo de trabajo diario con Trivy Operator Kubernetes

Una vez instalado, conviene definir una rutina para que los informes de Trivy Operator Kubernetes se traduzcan en acciones concretas y no acaben ignorados. La seguridad continua solo aporta valor si alguien revisa y prioriza los hallazgos con regularidad.

Un ciclo semanal sencillo y sostenible podría ser el siguiente:

• Revisar lo crítico: filtra los VulnerabilityReport por severidad CRITICAL y valora el impacto real en tus servicios expuestos.
• Actualizar imágenes base: muchas vulnerabilidades desaparecen con solo reconstruir a partir de una imagen base más reciente.
• Corregir configuraciones: atiende los ConfigAuditReport que señalen contenedores con privilegios o sin límites de recursos.
• Verificar cumplimiento: comprueba la evolución del ClusterComplianceReport para no retroceder en los controles ya superados.

Este flujo encaja de forma natural en un modelo GitOps: cuando el equipo detecta un problema, actualiza el manifiesto o el Dockerfile en el repositorio, y el pipeline despliega la corrección. En el siguiente ciclo, Trivy Operator Kubernetes vuelve a escanear y confirma que el hallazgo se ha resuelto, cerrando el bucle de mejora continua. Con el tiempo, esta disciplina reduce de forma medible la superficie de ataque del clúster y aporta evidencias objetivas para auditorías y certificaciones de seguridad.

Buenas prácticas y solución de problemas

• Recursos de los jobs: si los escaneos fallan por memoria, ajusta los límites del operador en el chart.
• Bases de datos: un error de descarga suele indicar falta de salida a Internet; considera un espejo interno del repositorio de Trivy.
• Ruido inicial: usa ignoreUnfixed y define severidades mínimas para no saturar a los equipos.
• GitOps: combina los informes con External Secrets Operator y políticas para automatizar la respuesta.

Si un informe no aparece, comprueba los logs del operador con kubectl logs -n trivy-system; casi siempre el problema es de permisos o de conectividad. Para más contenido, visita nuestra categoría de tutoriales de Kubernetes.

Conclusión

Con Trivy Operator Kubernetes has añadido a tu clúster una capa de seguridad continua que analiza vulnerabilidades, configuraciones y secretos sin intervención manual. Su integración nativa con la API de Kubernetes y con Prometheus lo convierte en una pieza clave de cualquier estrategia DevSecOps moderna. Empieza filtrando lo accionable, alerta sobre lo crítico y ve automatizando la respuesta a medida que ganas confianza en la herramienta y en tu propio proceso de revisión periódica.

Preguntas frecuentes sobre Trivy Operator Kubernetes

¿En qué se diferencia de usar Trivy en CI?

Trivy en CI escanea una imagen en el momento del build; el operador escanea de forma continua lo que ya corre en el clúster y guarda los resultados como recursos consultables, detectando también CVE publicados después del despliegue.

¿Consume muchos recursos?

El operador en sí es ligero. El consumo puntual proviene de los jobs de escaneo, que son efímeros. Puedes ajustar límites y programar la frecuencia para adaptarlo a clústeres pequeños.

¿Puede escanear secretos expuestos?

Sí. Además de vulnerabilidades, genera informes de secretos incrustados en imágenes y de auditoría de configuración, ofreciendo una visión de seguridad completa en un único despliegue.

¿Es gratuito?

Sí, es un proyecto de código abierto mantenido por Aqua Security bajo licencia Apache 2.0, sin coste de licencia para su uso en tus clústeres.

Recursos y documentación oficial

• Trivy Operator en GitHub
• Documentación oficial de Trivy Operator
• Trivy — sitio oficial
• Patrón Operator en Kubernetes
• Chart de Trivy Operator en Artifact Hub