Syft

Syft esamina le immagini dei container, i filesystem e gli archivi per produrre una Software Bill of Materials (SBOM) che mostra i componenti software e le dipendenze al loro interno. Essendo sia un programma da riga di comando sia una libreria Go, consente agli ingegneri di generare questo inventario negli script o di integrare la creazione di SBOM nelle proprie applicazioni. Questo fornisce ai team di sviluppo e operations una base concreta per l'analisi delle vulnerabilità, la conformità delle licenze e la sicurezza della catena di approvvigionamento del software.

Accetta OCI, Docker, Singularity e altri formati di immagine, insieme a obiettivi di filesystem e archivio. I risultati possono essere emessi come CycloneDX, SPDX, Syft JSON, e altri formati, e Syft può convertire tra i formati SBOM. Può anche creare attestazioni firmate SBOM sotto le specifiche in-toto. Usato con Grype, supporta la scansione della vulnerabilità contro il SBOM generato.

Gli sviluppatori usano comunemente Syft per ispezionare un contenitore o una directory durante i flussi di lavoro di compilazione e rilascio, mentre i team di sicurezza e conformità utilizzano i risultati per valutare le dipendenze e le licenze dei componenti. La versione open source Syft di Anchore è un'applicazione Windows per i sistemi x64 che eseguono Windows 10 o versioni successive o Windows Server 2016 o successive.

La versione 1.51.0 aggiunge il rilevamento della modalità Go FIPS 140 nativo nei binari e introduce l'estensione-stdlib e i modelli di modulo per la cattura dei simboli. Corregge anche gli URL dei pacchetti errati per i JAR legacy che mancano i metadati di Maven e migliora la gestione dei file hard-linked durante le scansioni delle immagini.