かわいいピンクのフクロウのSyftロゴ

Syft

コンテナイメージとファイルシステムからソフトウェア部品表（SBOM）を生成するためのCLIツールおよびGoライブラリ。Grypeなどのスキャナーと組み合わせて使用すると、脆弱性の検出に非常に優れた効果を発揮します。

syft-demo

特徴

コンテナイメージ、ファイルシステム、アーカイブのSBOMを生成（対応スキャン対象の全リストはドキュメントを参照）
数十種類のパッケージングエコシステムをサポート（例：Alpine (apk)、Debian (dpkg)、RPM、Go、Python、Java、JavaScript、Ruby、Rust、PHP、.NET、その他多数）
OCI、Docker、Singularity、その他のイメージ形式をサポート
脆弱性スキャンでGrypeとシームレスに連携
複数の出力形式（CycloneDX、SPDX、Syft JSON、その他）に対応し、SBOM形式間の変換も可能
in-toto仕様を使用して署名付きSBOMアテステーションを作成

[!TIP] Syftをお使いになるのは初めてですか？Getting Startedガイドで詳しい手順を確認しましょう！

最も手早く使い始める方法：

curl -sSfL https://get.anchore.io/syft | sudo sh -s -- -b /usr/local/bin

[!TIP] Homebrew、Docker、Scoop、Chocolatey、Nixなど、Syftを入手するその他の方法については、インストールドキュメントをご覧ください。

コンテナイメージまたはディレクトリ内のパッケージを確認する：

# container image
syft alpine:latest

# directory
syft ./my-project

SBOMを取得するには、1つ以上の出力形式を指定します：

# SBOM to stdout
syft <image> -o cyclonedx-json

# Multiple SBOMs to files
syft <image> -o spdx-json=./spdx.json -o cyclonedx-json=./cdx.json

[!TIP] すべての機能と特徴を確認するには、Getting Startedガイドをご覧ください。

Syftの詳細をすべて知りたいですか？CLIドキュメント、設定ドキュメント、JSONスキーマをチェックしてください。

バグを発見した場合や新機能を希望する場合は、issueを送信して、これらのツールをより良いものにするためのご協力をお願いしています。コードの提供に興味がある場合は、コントリビューション概要と開発者向けドキュメントをご覧ください。

Syftの開発はAnchoreがスポンサーとなっており、Apache-2.0 Licenseの下でリリースされています。 SyftロゴはAnchoreによって制作され、CC BY 4.0の下でライセンスされています。

SyftまたはGrypeに関する商用サポートについては、Anchoreにお問い合わせください。

Syftチームは定期的にオンラインのコミュニティミーティングを開催しています。議論したいテーマをお持ちの方は、どなたでも参加できます。