Syft

Syft examine les images de conteneurs, les systèmes de fichiers et les archives pour produire une Bill of Materials Software (SBOM) montrant les composants logiciels et les dépendances à l'intérieur. En tant que programme en ligne de commande et bibliothèque Go, il permet aux ingénieurs de générer cet inventaire dans des scripts ou d'intégrer la création SBOM dans leurs propres applications. Cela donne aux équipes de développement et d'exploitation une base concrète pour les enquêtes de vulnérabilité, la conformité des licences et la sécurité de la chaîne d'approvisionnement des logiciels.

Il accepte OCI, Docker, Singularity et d'autres formats d'images, ainsi que des cibles de système de fichiers et d'archives. Les résultats peuvent être émis sous forme de CycloneDX, SPDX, Syft JSON, et d'autres formats, et Syft peut convertir entre les formats SBOM. Il peut également créer des attestations SBOM signées sous la spécification in-to. Utilisé avec Grype, il prend en charge l’analyse des vulnérabilités du SBOM généré.

Les développeurs utilisent généralement Syft pour inspecter un conteneur ou un répertoire pendant les processus de génération et de mise en production, tandis que les équipes de sécurité et de conformité utilisent les résultats pour évaluer les dépendances et les licences des composants. La version open-source Syft d'Anchore est une application Windows pour les systèmes x64 fonctionnant sous Windows 10 ou une version ultérieure, ou Windows Server 2016 ou une version ultérieure.

La version 1.51.0 ajoute la détection du mode Go FIPS 140 natif dans les binaires et introduit la portée stdlib étendue et les modèles de modules pour la capture de symboles. Il corrige également les URLs de paquets incorrectes pour les anciens JAR manquant de métadonnées Maven et améliore la gestion des fichiers liés durement lors des scans d'images.