Syft

Syft examina imágenes de contenedores, sistemas de archivos y archivos para producir un Software Bill of Materials (SBOM) mostrando los componentes de software y dependencias dentro de ellos. Como un programa de línea de comandos y una biblioteca Go, permite a los ingenieros generar este inventario en scripts o incrustar la creación SBOM en sus propias aplicaciones. Esto da a los equipos de desarrollo y operaciones una base concreta para la investigación de vulnerabilidad, el cumplimiento de licencias y la seguridad de la cadena de suministro de software.

Acepta OCI, Docker, Singularity y otros formatos de imagen, junto con objetivos de sistema de archivos y archivos. Los resultados se pueden emitir como CycloneDX, SPDX, Syft JSON y otros formatos, y Syft puede convertir entre formatos SBOM. También puede crear certificados SBOM firmados bajo la especificación interna. Utilizado con Grype, soporta el análisis de vulnerabilidad frente al SBOM generado.

Los desarrolladores utilizan habitualmente Syft para inspeccionar un contenedor o directorio durante los flujos de trabajo de construcción y liberación, mientras que los equipos de seguridad y cumplimiento utilizan los resultados para evaluar las dependencias y licencias de componentes. La versión de código abierto Syft de Anchore es una aplicación de Windows para sistemas x64 ejecutando Windows 10 o posterior o Windows Server 2016 o posterior.

Versión 1.51.0 añade la detección del modo Go FIPS 140 nativo en binarios e introduce patrones de alcance y módulos extendidos para la captura de símbolos. También corrige URLs incorrectas de paquetes para JARs heredados que carecen de metadatos de Maven y mejora el manejo de archivos de enlace duro durante las imágenes escaneadas.