Syft

أداة CLI ومكتبة Go لإنشاء قائمة مكونات البرمجيات (SBOM) من صور الحاويات وأنظمة الملفات. استثنائية في اكتشاف الثغرات الأمنية عند استخدامها مع ماسح ضوئي مثل Grype.

                 

الميزات

• ينشئ قوائم SBOM لـ صور الحاويات، وأنظمة الملفات، والأرشيفات (راجع الوثائق للحصول على قائمة كاملة بـ أهداف الفحص المدعومة)
• يدعم العشرات من أنظمة إدارة الحزم (مثل Alpine (apk)، وDebian (dpkg)، وRPM، وGo، وPython، وJava، وJavaScript، وRuby، وRust، وPHP، و.NET، والمزيد)
• يدعم OCI، وDocker، وSingularity، والمزيد من صيغ الصور
• يعمل بسلاسة مع Grype لفحص الثغرات الأمنية
• صيغ إخراج متعددة (CycloneDX، وSPDX، وSyft JSON، والمزيد) بما في ذلك القدرة على التحويل بين صيغ SBOM
• إنشاء شهادات SBOM موقّعة باستخدام مواصفة in-toto

[!TIP] جديد على Syft؟ اطّلع على دليل البدء للحصول على شرح تفصيلي!

التثبيت

أسرع طريقة للبدء:

curl -sSfL https://get.anchore.io/syft | sudo sh -s -- -b /usr/local/bin

[!TIP] راجع وثائق التثبيت لمزيد من الطرق للحصول على Syft، بما في ذلك Homebrew، وDocker، وScoop، وChocolatey، وNix، والمزيد!

الأساسيات

اعرض الحزم الموجودة داخل صورة حاوية أو دليل:

# container image
syft alpine:latest

# directory
syft ./my-project

للحصول على SBOM، حدّد صيغة إخراج واحدة أو أكثر:

# SBOM to stdout
syft <image> -o cyclonedx-json

# Multiple SBOMs to files
syft <image> -o spdx-json=./spdx.json -o cyclonedx-json=./cdx.json

صور containers-storage المحلية

على Linux، يمكن لـ syft فحص الصور من مخزن containers-storage المحلي (مثل تلك المبنية باستخدام Buildah أو Podman) عند الطلب صراحةً؛ فمراجع الصور العادية لا تبحث هناك أبدًا:

syft --from containers-storage localhost/myimage:latest

# rootless stores must be read from inside the builder's user namespace
podman unshare syft --from containers-storage localhost/myimage:latest

يُضمَّن هذا في ثنائيات إصدار Linux. عند البناء من المصدر، أضف -tags containers_image_openpgp,exclude_graphdriver_btrfs.

[!TIP] اطّلع على دليل البدء لاستكشاف جميع الإمكانات والميزات.

هل تريد معرفة كل التفاصيل الدقيقة لـ Syft؟ راجع وثائق CLI، ووثائق الإعدادات، ومخطط JSON.

المساهمة

نشجّع المستخدمين على المساعدة في تحسين هذه الأدوات عبر إرسال المشكلات عند العثور على خطأ أو الرغبة في ميزة جديدة. اطّلع على نظرة عامة على المساهمة والوثائق الخاصة بالمطورين إذا كنت مهتمًا بتقديم مساهمات برمجية.

Syft development is sponsored by Anchore, and is released under the Apache-2.0 License. The Syft logo by Anchore is licensed under CC BY 4.0

للحصول على خيارات الدعم التجاري مع Syft أو Grype، يُرجى الاتصال بـ Anchore.

تعال وتحدث إلينا!

يعقد فريق Syft اجتماعات مجتمعية منتظمة عبر الإنترنت. الجميع مرحّب به للانضمام وطرح مواضيع للنقاش.

• راجع التقويم لمعرفة موعد الاجتماع القادم.
• أضف عناصر إلى جدول الأعمال (انضم إلى هذه المجموعة للحصول على صلاحية الكتابة في جدول الأعمال)
• نراكم هناك!