syft

Syft é uma poderosa ferramenta CLI e biblioteca Go projetada para gerar Software Bills of Materials (SBOM) a partir de imagens de contêineres, sistemas de arquivos e arquivos compactados. Suporta uma ampla variedade de ecossistemas de empacotamento, incluindo Alpine (apk), Debian (dpkg), RPM, Go, Python, Java, JavaScript, Ruby, Rust, PHP, .NET e muitos outros. O Syft pode escanear OCI, Docker, Singularity e outros formatos de imagem, e integra-se perfeitamente ao Grype para varredura de vulnerabilidades. Oferece múltiplos formatos de saída, como CycloneDX, SPDX e Syft JSON, e suporta conversão entre formatos de SBOM. Além disso, o Syft pode criar atestações de SBOM assinadas usando a especificação in-toto. A instalação é direta por meio de um script curl, e pode ser usado para listar rapidamente pacotes em uma imagem ou diretório, ou gerar SBOMs em vários formatos. O projeto é desenvolvido ativamente pela Anchore e lançado sob a Licença Apache-2.0.