syft

Syft es una potente herramienta CLI y librería de Go diseñada para generar listas de materiales de software (SBOM) a partir de imágenes de contenedores, sistemas de archivos y archivos comprimidos. Admite una amplia gama de ecosistemas de empaquetado, incluyendo Alpine (apk), Debian (dpkg), RPM, Go, Python, Java, JavaScript, Ruby, Rust, PHP, .NET y muchos más. Syft puede escanear OCI, Docker, Singularity y otros formatos de imagen, y se integra perfectamente con Grype para el análisis de vulnerabilidades. Ofrece múltiples formatos de salida, como CycloneDX, SPDX y Syft JSON, y admite la conversión entre formatos SBOM. Además, Syft puede crear atestaciones SBOM firmadas mediante la especificación in-toto. La instalación es sencilla mediante un script curl, y se puede utilizar para enumerar rápidamente paquetes en una imagen o directorio, o generar SBOM en varios formatos. El proyecto es desarrollado activamente por Anchore y se distribuye bajo la Licencia Apache-2.0.