Syft
Erstellt ein Inventar von allem, was zufällig in einem Container-Image steckt, in einem der Standardformate, die inzwischen bei Ausschreibungen verlangt werden.
Das Tool durchläuft die Layer eines Images, ein Dateisystem oder ein Archiv und erkennt Pakete aus praktisch jedem vorkommenden Ökosystem — apk, deb und rpm aus der Distribution, dazu eingebaute npm-, pip-, Go-Module, Java-Archive und Rust-Crates. Das Ergebnis wird als SBOM in SPDX oder CycloneDX ausgegeben. Die Trennung vom Schwester-Tool Grype ist bewusst: Syft ermittelt, was vorhanden ist, Grype gleicht diese Liste mit Schwachstellendatenbanken ab. Dadurch lässt sich die Inventur einmal beim Build erstellen und danach bei jeder neu veröffentlichten Schwachstelle erneut scannen, ohne dass etwas neu gebaut werden muss. Üblicherweise wird die SBOM mit cosign signiert und dem Image beigefügt.