Syft

Syft lista o que vai dentro de uma imagem de contêiner, de um diretório ou de um arquivo compactado. Essa lista sai como SBOM, o inventário de componentes do software. É uma CLI e também uma biblioteca em Go, mantidas pela Anchore. A busca de vulnerabilidades fica com outro programa da casa, o Grype, que lê o SBOM e cruza os componentes com a base de falhas.

Para que serve

• Inventariar pacotes de Alpine, Debian e RPM e dependências de Go, Python, Java, JavaScript, Ruby, Rust, PHP e .NET.
• Gerar o SBOM em CycloneDX, SPDX ou no JSON do próprio Syft, e converter de um formato para outro.
• Assinar o SBOM como atestado no padrão in-toto.
• Gravar vários formatos numa só execução, cada um no seu arquivo.

Como começar

A instalação rápida baixa o binário para /usr/local/bin:

curl -sSfL https://get.anchore.io/syft | sudo sh -s -- -b /usr/local/bin

Como ele roda com sudo, confira o conteúdo antes, ou prefira Homebrew, Docker, Scoop, Chocolatey ou Nix. O alvo vem logo depois do comando:

syft alpine:latest
syft ./my-project
syft <image> -o cyclonedx-json

No Linux, imagens locais do Podman entram com --from containers-storage, opção que precisa ser pedida de forma explícita.

Licença e custo

Rodar o Syft no pipeline da empresa não custa nada. A Apache 2.0 do repositório cobra contrapartidas de quem redistribui o código: incluir o texto da licença, preservar as atribuições de autoria e o NOTICE, se houver, e marcar os arquivos alterados. Só o logotipo foge disso, com licença CC BY 4.0. Para suporte comercial, o README manda procurar a Anchore e não divulga preço.

Quando vale a pena

Para equipes que publicam imagens com frequência, o Syft deixa um registro do que entrou em cada versão. Quando sai uma falha nova, esse registro responde em minutos onde o pacote afetado está. Para a etapa seguinte, o Grype consome o SBOM e aponta as CVEs. Para inventário e varredura num binário só, o Trivy também gera SBOM.