Syft
Gera um inventário de tudo o que por acaso está dentro de uma imagem de contêiner, num dos formatos padrão que hoje são exigidos em licitações e contratações.
A ferramenta percorre as camadas de uma imagem, um sistema de arquivos ou um pacote e identifica pacotes de praticamente todos os ecossistemas que aparecem — apk, deb e rpm da distribuição, além de npm, pip, módulos Go, arquivos Java e crates Rust que foram embutidos no build. O resultado sai como um SBOM em SPDX ou CycloneDX. A separação em relação à ferramenta irmã Grype é deliberada: o Syft descobre o que existe, o Grype compara essa lista com bancos de vulnerabilidades. Assim o inventário pode ser produzido uma vez no build e reavaliado sempre que novas vulnerabilidades são publicadas, sem precisar refazer nada. O SBOM costuma ser assinado e anexado à imagem com o cosign.