Syft

Syft исследует образы контейнеров, файловые системы и архивы для создания Программной ведомости материалов (SBOM), показывающей программные компоненты и зависимости внутри них. Как программа командной строки, так и библиотека Go, она позволяет инженерам создавать этот инвентарь в скриптах или встраивать создание SBOM в свои собственные приложения. Это дает разработчикам и операционным группам конкретную основу для расследования уязвимостей, соблюдения лицензий и безопасности цепочки поставок программного обеспечения.

Он принимает OCI, Docker, Singularity и другие форматы изображений, а также цели файловой системы и архива. Результаты могут быть испущены в виде CycloneDX, SPDX, Syft JSON и других форматов, а Syft может конвертироваться между форматами SBOM. Он также может создавать подписанные сертификаты SBOM в соответствии со спецификацией in-toto. Используемый с помощью Grype, он поддерживает сканирование уязвимостей на сгенерированной SBOM.

Разработчики обычно используют Syft для проверки контейнера или каталога во время рабочих процессов сборки и выпуска, в то время как команды безопасности и соответствия используют результаты для оценки зависимостей и лицензирования компонентов. Syft с открытым исходным кодом от Anchore - это приложение для Windows для систем x64, работающих под управлением Windows 10 или более поздней версии или Windows Server 2016 или более поздней версии.

Версия 1.51.0 добавляет обнаружение нативного режима Go FIPS 140 в двоичных файлах и вводит расширенный охват и шаблоны модулей для захвата символов. Он также исправляет неправильные URL-адреса пакетов для устаревших JAR, в которых отсутствуют метаданные Maven, и улучшает обработку файлов с жесткими ссылками во время сканирования изображений.