Repolode
Enviar
anchore

anchore/syft

Ferramenta CLI e biblioteca Go que gera um SBOM a partir de imagens de contêineres e sistemas de arquivos.

Ver no GitHub
Estrelas
9,846
Forks
1,042
Issues abertas
698
Último commit
há 9 horas

O que é?

Syft inspeciona imagens de contêineres, diretórios e arquivos compactados para listar os pacotes de software que contêm e, em seguida, grava esse inventário como um SBOM. Abrange diversos ecossistemas de empacotamento, incluindo Alpine apk, Debian dpkg, RPM e pacotes das linguagens Go, Python, Java, JavaScript, Ruby, Rust, PHP e .NET.

A saída pode ser gerada nos formatos CycloneDX, SPDX e no formato JSON próprio do Syft, e é possível converter SBOMs entre esses formatos. O Syft também pode criar atestações de SBOM assinadas seguindo a especificação in-toto. Ele funciona em conjunto com o Grype, scanner de vulnerabilidades da Anchore, que lê os SBOMs do Syft para encontrar vulnerabilidades conhecidas.

Além da CLI, o Syft está disponível como biblioteca Go para que outras ferramentas incorporem a geração de SBOMs. Também pode ler imagens locais do containers-storage no Linux quando isso é solicitado explicitamente.

Recursos principais

  • 01Gera SBOMs para imagens de contêineres, sistemas de arquivos e arquivos compactados
  • 02Detecta pacotes em diversos ecossistemas, como apk, dpkg, RPM, Go, Python e Java
  • 03Gera saídas nos formatos CycloneDX, SPDX e JSON do Syft
  • 04Converte SBOMs entre formatos
  • 05Cria atestações de SBOM assinadas com in-toto
  • 06Integra-se ao Grype para varredura de vulnerabilidades

Casos de uso

  • Gerar um SBOM para uma imagem de contêiner antes de enviá-la para produção
  • Auditar os componentes de código aberto em um diretório de projeto
  • Enviar SBOMs ao Grype para verificar dependências em busca de vulnerabilidades conhecidas
  • Incorporar a geração de SBOMs a uma ferramenta Go usando a biblioteca

Início rápido

  1. 1

    Execute o script oficial de instalação indicado no README

  2. 2

    Analise os pacotes de uma imagem de contêiner

    syft alpine:latest
  3. 3

    Analise um diretório local

    syft ./my-project

Antes de usar

  • A análise de imagens locais do containers-storage está disponível apenas no Linux.
  • A detecção de vulnerabilidades requer um scanner separado, como o Grype.

Tópicos

#sbom#containers#supply-chain-security#vulnerability-scanning#docker#cyclonedx#spdx#golang#go#hacktoberfest

Perguntas frequentes

O que é syft?
Ferramenta CLI e biblioteca Go que gera um SBOM a partir de imagens de contêineres e sistemas de arquivos. Syft inspeciona imagens de contêineres, diretórios e arquivos compactados para listar os pacotes de software que contêm e, em seguida, grava esse inventário como um SBOM. Abrange diversos ecossistemas de empacotamento, incluindo Alpine apk, Debian dpkg, RPM e pacotes das linguagens Go, Python, Java, JavaScript, Ruby, Rust, PHP e .NET.
syft é gratuito? Qual é a licença?
syft é open source sob a licença Apache-2.0. Confira os termos da licença antes de usá-lo em produtos comerciais.
syft ainda é mantido?
Manutenção ativa. O último commit de syft foi em 6 de nov. de 2026.
Para que posso usar syft?
Gerar um SBOM para uma imagem de contêiner antes de enviá-la para produção Auditar os componentes de código aberto em um diretório de projeto Enviar SBOMs ao Grype para verificar dependências em busca de vulnerabilidades conhecidas Incorporar a geração de SBOMs a uma ferramenta Go usando a biblioteca
Como instalar syft?
Execute o script oficial de instalação indicado no README Analise os pacotes de uma imagem de contêiner: syft alpine:latest Analise um diretório local: syft ./my-project
Onde consigo syft?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/anchore/syft

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados