Repolode
Предложить
anchore

anchore/syft

CLI-инструмент и библиотека Go для создания SBOM по образам контейнеров и файловым системам.

Открыть на GitHub
Звёзды
9,839
Форки
1,041
Открытые issues
698
Последний коммит
вчера

Что это?

Syft анализирует образы контейнеров, каталоги и архивы, перечисляет содержащиеся в них программные пакеты и сохраняет этот перечень в формате SBOM. Инструмент поддерживает множество экосистем пакетирования, включая Alpine apk, Debian dpkg, RPM, а также пакеты для Go, Python, Java, JavaScript, Ruby, Rust, PHP и .NET.

Данные можно выводить в форматах CycloneDX, SPDX и собственном JSON-формате Syft, а также преобразовывать SBOM между этими форматами. Syft умеет создавать подписанные аттестации SBOM по спецификации in-toto. Он интегрируется с Grype — сканером уязвимостей от Anchore, который анализирует SBOM, созданные Syft, и ищет известные уязвимости.

Помимо CLI, Syft доступен как библиотека Go, чтобы другие инструменты могли встраивать генерацию SBOM. Кроме того, в Linux он может читать локальные образы containers-storage, если явно включить эту возможность.

Ключевые возможности

  • 01Создаёт SBOM для образов контейнеров, файловых систем и архивов
  • 02Обнаруживает пакеты во множестве экосистем, таких как apk, dpkg, RPM, Go, Python и Java
  • 03Поддерживает вывод в форматах CycloneDX, SPDX и JSON-формате Syft
  • 04Преобразует SBOM между форматами
  • 05Создаёт подписанные аттестации SBOM по спецификации in-toto
  • 06Интегрируется с Grype для сканирования уязвимостей

Сценарии использования

  • Создание SBOM для образа контейнера перед его отправкой в production
  • Аудит open-source-компонентов в каталоге проекта
  • Передача SBOM в Grype для проверки зависимостей на известные уязвимости
  • Встраивание генерации SBOM в инструмент на Go с помощью библиотеки

Быстрый старт

  1. 1

    Запустите официальный скрипт установки из README

  2. 2

    Просканируйте пакеты в образе контейнера

    syft alpine:latest
  3. 3

    Просканируйте локальный каталог

    syft ./my-project

Что важно знать

  • Сканирование локальных образов containers-storage доступно только в Linux.
  • Для обнаружения уязвимостей требуется отдельный сканер, например Grype.

Темы

#sbom#containers#supply-chain-security#vulnerability-scanning#docker#cyclonedx#spdx#golang#go#hacktoberfest

Частые вопросы

Что такое syft?
CLI-инструмент и библиотека Go для создания SBOM по образам контейнеров и файловым системам. Syft анализирует образы контейнеров, каталоги и архивы, перечисляет содержащиеся в них программные пакеты и сохраняет этот перечень в формате SBOM. Инструмент поддерживает множество экосистем пакетирования, включая Alpine apk, Debian dpkg, RPM, а также пакеты для Go, Python, Java, JavaScript, Ruby, Rust, PHP и .NET.
syft можно использовать бесплатно? Какая у него лицензия?
syft распространяется с открытым исходным кодом под лицензией Apache-2.0. Перед использованием в коммерческих продуктах проверьте условия лицензии.
syft всё ещё поддерживается?
Активно поддерживается. Последний коммит в syft — 4 нояб. 2026 г..
Для чего можно использовать syft?
Создание SBOM для образа контейнера перед его отправкой в production Аудит open-source-компонентов в каталоге проекта Передача SBOM в Grype для проверки зависимостей на известные уязвимости Встраивание генерации SBOM в инструмент на Go с помощью библиотеки
Как установить syft?
Запустите официальный скрипт установки из README Просканируйте пакеты в образе контейнера: syft alpine:latest Просканируйте локальный каталог: syft ./my-project
Где скачать syft?
Исходный код и инструкции по установке — на GitHub: https://github.com/anchore/syft

Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.

Похожие проекты

cdxgen / cdxgen

CLI, библиотека и сервер для создания SBOM в форматах CycloneDX и SPDX по исходному коду, образам контейнеров и работающим хостам.

Безопасность#sbom#cyclonedx#supply-chain
1,1 тыс.+9 за неделю268JavaScriptApache-2.0Обновлён 14 часов назад

fabric8-analytics / fabric8-analytics-vscode-extension

Расширение VS Code от Red Hat, которое находит известные уязвимости и проблемы с лицензиями в зависимостях проекта при редактировании манифестов.

Безопасность#security#vulnerability-scanning#dependency-management
258195TypeScriptApache-2.0Активно поддерживаетсяОбновлён 4 дня назад

aquasecurity / trivy

Trivy — сканер безопасности с открытым исходным кодом, который выявляет уязвимости, ошибки конфигурации, секреты и данные SBOM в контейнерах, файловых системах, Git-репозиториях, образах VM и Kubernetes.

Безопасность#security#vulnerability-scanner#containers
39 тыс.+190 за неделю823GoApache-2.0Активно поддерживаетсяОбновлён 15 часов назад