Syft

Un outil CLI et une bibliothèque Go pour générer une nomenclature logicielle (SBOM) à partir d'images conteneur et de systèmes de fichiers. Exceptionnel pour la détection de vulnérabilités lorsqu'il est utilisé avec un scanner comme Grype.

Fonctionnalités

• Génère des SBOM pour les images conteneur, les systèmes de fichiers, les archives (voir la documentation pour la liste complète des cibles de scan prises en charge)
• Prend en charge des dizaines d'écosystèmes de packaging (par ex. Alpine (apk), Debian (dpkg), RPM, Go, Python, Java, JavaScript, Ruby, Rust, PHP, .NET, et bien d'autres)
• Prend en charge OCI, Docker, Singularity et d'autres formats d'images
• Fonctionne de manière transparente avec Grype pour l'analyse des vulnérabilités
• Formats de sortie multiples (CycloneDX, SPDX, Syft JSON, et plus encore) avec la possibilité de convertir entre les formats SBOM
• Créez des attestations SBOM signées à l'aide de la spécification in-toto

[!TIP] Nouveau sur Syft ? Consultez le guide de démarrage pour un parcours guidé !

Installation

Le moyen le plus rapide de démarrer :

curl -sSfL https://get.anchore.io/syft | sudo sh -s -- -b /usr/local/bin

[!TIP] Consultez la documentation d'installation pour d'autres façons d'installer Syft, notamment Homebrew, Docker, Scoop, Chocolatey, Nix, etc.

Les bases

Affichez les paquets contenus dans une image conteneur ou un répertoire :

# container image
syft alpine:latest

# directory
syft ./my-project

Pour obtenir un SBOM, spécifiez un ou plusieurs formats de sortie :

# SBOM to stdout
syft <image> -o cyclonedx-json

# Multiple SBOMs to files
syft <image> -o spdx-json=./spdx.json -o cyclonedx-json=./cdx.json

[!TIP] Consultez le guide de démarrage pour explorer toutes les capacités et fonctionnalités.

Vous voulez connaître tous les tenants et aboutissants de Syft ? Consultez la documentation CLI, la documentation de configuration et le schéma JSON.

Contribuer

Nous encourageons les utilisateurs à contribuer à l'amélioration de ces outils en soumettant des problèmes lorsque vous trouvez un bug ou souhaitez une nouvelle fonctionnalité. Consultez notre aperçu de la contribution et la documentation spécifique aux développeurs si vous souhaitez apporter des contributions au code.

Le développement de Syft est sponsorisé par Anchore, et est publié sous la licence Apache-2.0. Le logo Syft par Anchore est sous licence CC BY 4.0

Pour les options de support commercial avec Syft ou Grype, veuillez contacter Anchore.

Venez discuter avec nous !

L'équipe Syft organise régulièrement des réunions communautaires en ligne. Tous sont les bienvenus pour apporter des sujets de discussion.

• Consultez le calendrier pour la date de la prochaine réunion.
• Ajoutez des éléments à l'ordre du jour (rejoignez ce groupe pour obtenir un accès en écriture à l'ordre du jour)
• À bientôt !