Repolode
Enviar
anchore

anchore/syft

Herramienta CLI y biblioteca Go que generan un inventario de materiales de software (SBOM) a partir de imágenes de contenedor y sistemas de archivos.

Ver en GitHub
Estrellas
9,846
Forks
1,042
Issues abiertos
698
Último commit
hace 13 horas

¿Qué es?

Syft inspecciona imágenes de contenedor, directorios y archivos comprimidos para enumerar los paquetes de software que contienen y, después, guarda ese inventario como un SBOM. Es compatible con muchos ecosistemas de empaquetado, como Alpine apk, Debian dpkg, RPM y los paquetes de lenguajes como Go, Python, Java, JavaScript, Ruby, Rust, PHP y .NET.

El resultado se puede generar en los formatos CycloneDX, SPDX y JSON propio de Syft, y es posible convertir los SBOM entre estos formatos. Syft también puede crear attestations de SBOM firmadas que siguen la especificación in-toto. Se integra con Grype, el escáner de vulnerabilidades de Anchore, que lee los SBOM de Syft para detectar vulnerabilidades conocidas.

Además de la CLI, Syft está disponible como biblioteca Go para que otras herramientas puedan integrar la generación de SBOM. También puede leer imágenes locales de containers-storage en Linux si se solicita explícitamente.

Funciones clave

  • 01Genera SBOM para imágenes de contenedor, sistemas de archivos y archivos comprimidos
  • 02Detecta paquetes de muchos ecosistemas, como apk, dpkg, RPM, Go, Python y Java
  • 03Genera resultados en los formatos CycloneDX, SPDX y JSON de Syft
  • 04Convierte entre formatos SBOM
  • 05Crea attestations de SBOM firmadas según in-toto
  • 06Se integra con Grype para escanear vulnerabilidades

Casos de uso

  • Generar un SBOM para una imagen de contenedor antes de publicarla en producción
  • Auditar los componentes de código abierto de un directorio de proyecto
  • Enviar SBOM a Grype para comprobar si las dependencias tienen vulnerabilidades conocidas
  • Integrar la generación de SBOM en una herramienta Go mediante la biblioteca

Inicio rápido

  1. 1

    Ejecuta el script oficial de instalación indicado en el README

  2. 2

    Analiza los paquetes de una imagen de contenedor

    syft alpine:latest
  3. 3

    Analiza un directorio local

    syft ./my-project

Antes de usarlo

  • El análisis de imágenes locales de containers-storage solo está disponible en Linux.
  • La detección de vulnerabilidades requiere un analizador independiente, como Grype.

Temas

#sbom#containers#supply-chain-security#vulnerability-scanning#docker#cyclonedx#spdx#golang#go#hacktoberfest

Preguntas frecuentes

¿Qué es syft?
Herramienta CLI y biblioteca Go que generan un inventario de materiales de software (SBOM) a partir de imágenes de contenedor y sistemas de archivos. Syft inspecciona imágenes de contenedor, directorios y archivos comprimidos para enumerar los paquetes de software que contienen y, después, guarda ese inventario como un SBOM. Es compatible con muchos ecosistemas de empaquetado, como Alpine apk, Debian dpkg, RPM y los paquetes de lenguajes como Go, Python, Java, JavaScript, Ruby, Rust, PHP y .NET.
¿syft es gratuito? ¿Qué licencia tiene?
syft es open source bajo la licencia Apache-2.0. Revisa los términos de la licencia antes de usarlo en productos comerciales.
¿syft sigue mantenido?
Mantenimiento activo. El último commit de syft fue el 6 nov 2026.
¿Para qué puedo usar syft?
Generar un SBOM para una imagen de contenedor antes de publicarla en producción Auditar los componentes de código abierto de un directorio de proyecto Enviar SBOM a Grype para comprobar si las dependencias tienen vulnerabilidades conocidas Integrar la generación de SBOM en una herramienta Go mediante la biblioteca
¿Cómo se instala syft?
Ejecuta el script oficial de instalación indicado en el README Analiza los paquetes de una imagen de contenedor: syft alpine:latest Analiza un directorio local: syft ./my-project
¿Dónde consigo syft?
El código fuente y las instrucciones de instalación están en GitHub: https://github.com/anchore/syft

Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.

Proyectos relacionados