Grype

Définition

Grype est un scanner de vulnérabilités open source développé par Anchore, spécialisé dans l'analyse des composants logiciels identifiés dans des SBOMs ou directement dans des images Docker et des répertoires de code. Grype se distingue des autres scanners de vulnérabilités (Trivy, Snyk CLI) par son intégration native avec Syft et le flux SBOM-driven : plutôt que de réanalyser l'image à chaque scan, Grype consomme un SBOM SPDX ou CycloneDX précédemment généré, rendant les scans répétés significativement plus rapides. Grype analyse les composants détectés contre plusieurs bases de données de vulnérabilités : NVD (National Vulnerability Database), GitHub Advisory Database (GHSA), OSS Index (Sonatype), RedHat Security Advisories, et d'autres sources spécifiques à des écosystèmes (Alpine, Ubuntu, Debian, Wolfi). Cette multi-source analysis garantit une couverture large, incluant des vulnérabilités publiées dans des advisory databases spécifiques à des distributions avant leur inclusion dans le NVD. L'intégration de Grype dans les pipelines CI permet de définir des seuils de blocage : grype image:tag --fail-on critical bloque le pipeline si des vulnérabilités critiques sont identifiées, grype image:tag --fail-on high bloque sur les High et Critical. Des fichiers .grype.yaml permettent de configurer des exceptions (VEX-like) : des CVEs ignorées car non exploitables dans le contexte spécifique, avec une justification et une date d'expiration de l'exception pour forcer la réévaluation périodique. Grype génère des rapports dans plusieurs formats (table, JSON, cyclonedx, sarif) permettant l'intégration avec les dashboards de sécurité, les systèmes de ticket (via SARIF vers GitHub Security Tab), et les plateformes de gestion de vulnérabilités (Dependency-Track).