Grype

Quais pacotes desta imagem têm falha conhecida? O Grype responde essa pergunta para imagens de contêiner, diretórios e SBOMs. Ele reconhece pacotes de sistema (Alpine, Debian, Ubuntu, RHEL, Amazon Linux e outros) e dependências de Ruby, Java, JavaScript, Python, .NET, Go, PHP e Rust. A Anchore patrocina o desenvolvimento.

Para que serve

• Varrer uma imagem Docker, OCI ou Singularity antes de publicá-la no registro.
• Checar a pasta de um projeto atrás de dependências com CVE.
• Ler um SBOM gerado pelo Syft e apontar as falhas de cada componente, um passo para medir o risco da cadeia de suprimentos de software.
• Ordenar os achados por EPSS, presença no catálogo KEV e pontuação de risco, e registrar em OpenVEX o que não se aplica ao seu caso.

Como começar

Um script faz a instalação:

curl -sSfL https://get.anchore.io/grype | sudo sh -s -- -b /usr/local/bin

Homebrew, Docker, Chocolatey e MacPorts são outras vias. O alvo entra como argumento:

grype alpine:latest
grype ./my-project
grype sbom:./sbom.json

Também dá para mandar o SBOM pela entrada padrão, com cat ./sbom.json | grype. Imagem ou código de terceiros só deve passar pelo scanner com autorização por escrito.

Licença e custo

Apache-2.0 para o código; o logotipo tem licença separada, CC BY 4.0. Você integra o scanner a pipeline ou a produto proprietário sem pagar nada; nas cópias redistribuídas, o texto da licença precisa constar. Para suporte comercial, o README manda falar com a Anchore e não mostra preço.

Quando vale a pena

Se a necessidade se resume a CVE em imagem e dependência, o Grype entrega isso num comando. Com o Syft, da mesma empresa, ele forma uma dupla: um gera o inventário de componentes, o outro cruza esse inventário com a base de vulnerabilidades. Se a ideia é cobrir também segredos, infraestrutura como código e licenças num binário só, o Trivy reúne essas checagens. As notas de EPSS e KEV ajudam a decidir o que entra primeiro na fila de correção.