Syft

Uno strumento CLI e una libreria Go per generare una Software Bill of Materials (SBOM) da immagini container e filesystem. Eccezionale per il rilevamento delle vulnerabilità se utilizzato con uno scanner come Grype.

Caratteristiche

• Genera SBOM per immagini container, filesystem, archivi (consulta la documentazione per l'elenco completo dei target di scansione supportati)
• Supporta decine di ecosistemi di packaging (es. Alpine (apk), Debian (dpkg), RPM, Go, Python, Java, JavaScript, Ruby, Rust, PHP, .NET e molti altri)
• Supporta OCI, Docker, Singularity e altri formati di immagine
• Funziona perfettamente con Grype per la scansione delle vulnerabilità
• Molteplici formati di output (CycloneDX, SPDX, Syft JSON e altri) inclusa la possibilità di convertire tra formati SBOM
• Crea attestazioni SBOM firmate utilizzando la specifica in-toto

[!TIP] Nuovo su Syft? Consulta la Guida introduttiva per un tutorial!

Installazione

Il modo più rapido per iniziare:

curl -sSfL https://get.anchore.io/syft | sudo sh -s -- -b /usr/local/bin

[!TIP] Consulta la documentazione sull'installazione per altri modi per ottenere Syft, inclusi Homebrew, Docker, Scoop, Chocolatey, Nix e altri ancora!

Le basi

Consulta i pacchetti all'interno di un'immagine container o di una directory:

# container image
syft alpine:latest

# directory
syft ./my-project

Per ottenere un SBOM, specifica uno o più formati di output:

# SBOM to stdout
syft <image> -o cyclonedx-json

# Multiple SBOMs to files
syft <image> -o spdx-json=./spdx.json -o cyclonedx-json=./cdx.json

[!TIP] Consulta la Guida introduttiva per esplorare tutte le funzionalità e le caratteristiche.

Vuoi conoscere tutti i dettagli di Syft? Consulta la documentazione CLI, documentazione di configurazione e lo schema JSON.

Contribuire

Incoraggiamo gli utenti ad aiutare a migliorare questi strumenti segnalando problemi quando trovano un bug o vogliono una nuova funzionalità. Consulta la nostra panoramica sul contributo e la documentazione specifica per gli sviluppatori se sei interessato a fornire contributi di codice.

Lo sviluppo di Syft è sponsorizzato da Anchore, ed è rilasciato sotto la licenza Apache-2.0. Il logo Syft di Anchore è concesso in licenza CC BY 4.0

Per opzioni di supporto commerciale con Syft o Grype, contatta Anchore.

Vieni a parlare con noi!

Il team di Syft organizza regolarmente riunioni della community online. Tutti sono invitati a partecipare per portare argomenti di discussione.

• Controlla il calendario per la data del prossimo incontro.
• Aggiungi elementi all'ordine del giorno (unisciti a questo gruppo per ottenere accesso in scrittura all'ordine del giorno)
• Ci vediamo lì!