Syft

Définition

Syft est un outil open source développé par Anchore pour la génération de Software Bills of Materials (SBOM) à partir d'images de containers, de répertoires de code source, d'archives, et de fichiers de lock de dépendances. Syft est l'un des outils de génération de SBOM les plus populaires dans l'écosystème cloud-native, supportant nativement les formats SPDX et CycloneDX, et s'intégrant avec Grype (scanner de vulnérabilités) et Cosign (signature d'artefacts). Syft analyse les composants d'un artefact logiciel en inspectant plusieurs sources : les manifestes de packages des gestionnaires de paquets (package.json, requirements.txt, go.sum, pom.xml, Gemfile.lock, Cargo.lock, etc.), les packages système installés dans les images Docker (dpkg pour Debian/Ubuntu, RPM pour Red Hat/CentOS, apk pour Alpine), et les binaires directement (en analysant les métadonnées Go dans les binaires compilés, via Go's build info). Cette multi-source analysis garantit une couverture exhaustive des composants, y compris les dépendances transitives qui n'apparaissent pas dans les manifestes de premier niveau. L'intégration de Syft dans un pipeline CI est simple : une étape post-build exécute syft <image>:<tag> -o spdx-json -f sbom.spdx.json ou syft <image>:<tag> -o cyclonedx-json -f sbom.cdx.json. Le SBOM généré est ensuite archivé comme artefact de build et optionnellement signé avec Cosign et attaché à l'image OCI pour une distribution transparente aux consommateurs. Syft s'intègre nativement avec Grype (Anchore's vulnerability scanner) pour un workflow SBOM complet : syft génère le SBOM, grype consomme ce SBOM pour l'analyse de vulnérabilités (grype sbom:sbom.spdx.json), ce qui est plus rapide qu'une nouvelle analyse de l'image entière à chaque scan de vulnérabilités.