Syft

Una herramienta CLI y una biblioteca de Go para generar una Lista de Materiales de Software (SBOM) a partir de imágenes de contenedores y sistemas de archivos. Excepcional para la detección de vulnerabilidades cuando se usa con un escáner como Grype.

Características

• Genera SBOM para imágenes de contenedores, sistemas de archivos, archivos (consulta la documentación para obtener una lista completa de objetivos de escaneo admitidos)
• Admite decenas de ecosistemas de empaquetado (p. ej. Alpine (apk), Debian (dpkg), RPM, Go, Python, Java, JavaScript, Ruby, Rust, PHP, .NET y muchos más)
• Admite imágenes OCI, Docker, Singularity y más formatos de imagen
• Funciona perfectamente con Grype para el escaneo de vulnerabilidades
• Múltiples formatos de salida (CycloneDX, SPDX, Syft JSON y más) incluida la capacidad de convertir entre formatos SBOM
• Crea atestaciones SBOM firmadas mediante la especificación in-toto

[!TIP] ¿Nuevo en Syft? ¡Consulta la Guía de inicio rápido para ver un tutorial!

Instalación

La forma más rápida de ponerse en marcha:

curl -sSfL https://get.anchore.io/syft | sudo sh -s -- -b /usr/local/bin

[!TIP] Consulta la documentación de instalación para conocer más formas de obtener Syft, incluyendo Homebrew, Docker, Scoop, Chocolatey, Nix y más.

Conceptos básicos

Consulta los paquetes dentro de una imagen de contenedor o directorio:

# imagen de contenedor
syft alpine:latest

# directorio
syft ./my-project

Para obtener un SBOM, especifica uno o más formatos de salida:

# SBOM en stdout
syft <image> -o cyclonedx-json

# Múltiples SBOM en archivos
syft <image> -o spdx-json=./spdx.json -o cyclonedx-json=./cdx.json

[!TIP] Consulta la Guía de inicio rápido para explorar todas las capacidades y funciones.

¿Quieres conocer todos los entresijos de Syft? Consulta la documentación de CLI, la documentación de configuración y el esquema JSON.

Contribuciones

Animamos a los usuarios a ayudar a mejorar estas herramientas reportando problemas cuando encuentres un error o quieras una nueva función. Consulta nuestra descripción general de contribuciones y la documentación específica para desarrolladores si estás interesado en realizar contribuciones de código.

El desarrollo de Syft es patrocinado por Anchore, y se publica bajo la Licencia Apache-2.0. El logotipo de Syft de Anchore está licenciado bajo CC BY 4.0

Para opciones de soporte comercial con Syft o Grype, por favor contacta con Anchore.

¡Ven a hablar con nosotros!

El equipo de Syft celebra reuniones comunitarias periódicas en línea. Todos son bienvenidos a unirse para aportar temas de discusión.

• Consulta el calendario para conocer la próxima fecha de reunión.
• Añade elementos a la agenda (únete a este grupo para obtener acceso de escritura a la agenda)
• ¡Nos vemos allí!