المهارات sbom-syft
📦

sbom-syft

v0.1.0 مراجعة المحتوى r2 حرج ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة⚡ يحتوي على سكربتات

إنشاء ملفات SBOM باستخدام Syft

تحتاج الفرق إلى ملفات SBOM دقيقة لتتبّع التبعيات والثغرات والتراخيص. يوجّه هذا skill سير عمل Syft للحاويات وأنظمة الملفات ومسارات CI والإفادات الموقّعة.

يدعم: Claude Codex Code(CC)
⚠️ 38 ضعيف

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل
Review the Skillstore skill "sbom-syft" from https://skillstore.io/skills/agentsecops-sbom-syft.md and its manifest at https://skillstore.io/api/skills/agentsecops-sbom-syft/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/agentsecops-sbom-syft.md manifest موقَّع GET /api/skills/agentsecops-sbom-syft/manifest lockfile موقَّع GET /api/skills/agentsecops-sbom-syft/lockfile

اختبرها

جارٍ استخدام "sbom-syft". أنشئ SBOM لصورة حاوية إنتاجية.

النتيجة المتوقعة:

سير عمل Syft موجز يتضمن تأكيد الهدف واختيار صيغة الإخراج ونصائح التخزين وفحوص التحقق.

جارٍ استخدام "sbom-syft". قارن ملفات SBOM لإصدارين من التطبيق.

النتيجة المتوقعة:

ملخص لتغييرات التبعيات يغطي الحزم المضافة والحزم المحذوفة وتغييرات الإصدارات وأولويات المراجعة.

جارٍ استخدام "sbom-syft". خطط لإنشاء SBOM لـ CI/CD.

النتيجة المتوقعة:

مخطط مسار يتضمن إعداد أداة الفحص والاحتفاظ بالعناصر وبوابات الثغرات وخطوات التوقيع.

التدقيق الأمني

حرج
v9 • ٢٣‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most detections are false positives caused by Markdown formatting, defensive examples, or fixed local operations. The template still includes a critical pipe-to-shell installer and instructions that download mutable artifacts without integrity verification. It also exposes a GitHub token to an unpinned action and contains CI controls that can fail open.

6
الملفات التي تم فحصها
2,022
الأسطر التي تم تحليلها
3
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (4)

حرج
assets/ci-config-template.yml:240
Pipe to shell pattern
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The workflow pipes an unauthenticated, unpinned remote script directly into bash. Upstream compromise or content replacement would produce immediate code execution in CI.
مرتفع
assets/ci-config-template.yml:197SKILL.md:43SKILL.md:307SKILL.md:323
Mutable Third-Party Execution References
CI examples use mutable action branches, major tags, and latest container tags, allowing upstream changes to execute without repository review.
The cited examples directly select master, latest, or mutable version tags for code that executes during builds.
مرتفع
assets/ci-config-template.yml:61assets/ci-config-template.yml:123assets/ci-config-template.yml:128assets/ci-config-template.yml:235
Fail-Open CI Security Gates
Several scanner commands suppress failures with || true, while later steps only warn, so vulnerable or incomplete builds can continue.
The template explicitly neutralizes multiple scanner exit codes, and some result processing does not enforce the documented severity threshold.
متوسط
SKILL.md:195-202SKILL.md:241-242
Plaintext Registry Credential Guidance
Guidance places registry usernames and passwords in .syft.yaml, increasing accidental commit and local disclosure risk.
The configuration example includes credential fields, and later text recommends adding credentials to that file.
عناصر مراجعة القدرات (3)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

مرتفع
assets/ci-config-template.yml:240
Hardcoded URL
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The URL supplies an installation script from a mutable upstream branch. No version pin or integrity check protects the downloaded executable content.
مرتفع
assets/ci-config-template.yml:164
Git platform tokens
GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
The workflow passes GITHUB_TOKEN to a third-party action referenced by a mutable major tag. A compromised action revision could misuse the token's workflow permissions.
متوسط
SKILL.md:136
Hardcoded URL
wget https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64
The instruction downloads the latest cosign binary without pinning a release or verifying a checksum or signature. Users are then told to execute that artifact.

عوامل الخطر

⚙️ الأوامر الخارجية (50)
assets/ci-config-template.yml:298 assets/ci-config-template.yml:301 assets/ci-config-template.yml:304 assets/ci-config-template.yml:307 assets/ci-config-template.yml:310 assets/ci-config-template.yml:134 assets/ci-config-template.yml:250 assets/ci-config-template.yml:291 SKILL.md:41-52 SKILL.md:52-62 SKILL.md:62-64 SKILL.md:64-66 SKILL.md:66-71 SKILL.md:71-95 SKILL.md:95-97 SKILL.md:97-100 SKILL.md:100-109 SKILL.md:109-111 SKILL.md:111-113 SKILL.md:113-115 SKILL.md:115-131 SKILL.md:131-139 SKILL.md:139-141 SKILL.md:141-143 SKILL.md:143-145 SKILL.md:145-147 SKILL.md:147-149 SKILL.md:149-151 SKILL.md:151-160 SKILL.md:160-161 SKILL.md:161-162 SKILL.md:162-163 SKILL.md:163-164 SKILL.md:164-165 SKILL.md:165-166 SKILL.md:166-167 SKILL.md:167-169 SKILL.md:169-170 SKILL.md:170-172 SKILL.md:172-176 SKILL.md:176-178 SKILL.md:178-209 SKILL.md:209-217 SKILL.md:217-224 SKILL.md:224-230 SKILL.md:230-243 SKILL.md:243-249 SKILL.md:249-258 SKILL.md:258-264 SKILL.md:264-272
🌐 الوصول إلى الشبكة (24)
assets/ci-config-template.yml:240 assets/rule-template.yaml:43 assets/rule-template.yaml:44 assets/rule-template.yaml:45 assets/rule-template.yaml:73 assets/rule-template.yaml:118 assets/rule-template.yaml:119 assets/rule-template.yaml:151 assets/rule-template.yaml:191 assets/rule-template.yaml:192 assets/rule-template.yaml:193 assets/rule-template.yaml:217 assets/rule-template.yaml:260 assets/rule-template.yaml:261 assets/rule-template.yaml:288 SKILL.md:19 SKILL.md:20 SKILL.md:136 SKILL.md:487 SKILL.md:488 SKILL.md:489 SKILL.md:490 SKILL.md:491 SKILL.md:492
📁 الوصول إلى نظام الملفات (4)
assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 SKILL.md:193 SKILL.md:437
🔑 متغيرات البيئة (23)
assets/ci-config-template.yml:164 assets/rule-template.yaml:148 assets/rule-template.yaml:148 assets/rule-template.yaml:147 assets/rule-template.yaml:162 assets/rule-template.yaml:132 assets/rule-template.yaml:147 assets/rule-template.yaml:148 assets/rule-template.yaml:156 assets/rule-template.yaml:157 assets/rule-template.yaml:162 assets/rule-template.yaml:163 assets/rule-template.yaml:164 assets/rule-template.yaml:165 references/EXAMPLE.md:423 references/EXAMPLE.md:423 references/EXAMPLE.md:424 references/EXAMPLE.md:425 references/EXAMPLE.md:427 references/EXAMPLE.md:430 references/EXAMPLE.md:432 references/EXAMPLE.md:437 references/EXAMPLE.md:444
⚡ يحتوي على سكربتات (2)
references/EXAMPLE.md:138 references/EXAMPLE.md:137

الأنماط المكتشفة

Pipe to shell pattern
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار
تقييم الأمان

نسخ رابط التقرير

https://skillstore.io/skills/agentsecops-sbom-syft/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-sbom-syft/security.svg)](https://skillstore.io/skills/agentsecops-sbom-syft?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/agentsecops-sbom-syft?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sbom-syft/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/agentsecops-sbom-syft.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

AgentSecOps. (2026). sbom-syft security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sbom-syft/audits/9

اقتباس BibTeX

@techreport{agentsecops-agentsecops-sbom-syft-2026, author = {AgentSecOps}, title = {sbom-syft security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/agentsecops-sbom-syft/audits/9}, note = {Author version 0.1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "sbom-syft security audit report (audit version 9)" version: "0.1.0" type: report authors: - name: "AgentSecOps" date-released: "2026-07-23" url: "https://skillstore.io/skills/agentsecops-sbom-syft/audits/9" identifiers: - type: other value: "skillstore:agentsecops-sbom-syft:audit:9" description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط
55
الهندسة المعمارية
100
قابلية الصيانة
87
المحتوى
73
المجتمع
91
الامتثال للمواصفات

ما الذي يمكنك بناؤه

جرد تبعيات الحاويات

إنشاء ملفات CycloneDX أو SPDX SBOM لصور الإصدارات قبل النشر.

إضافة ملفات SBOM إلى الإصدارات

إرفاق عناصر SBOM والإفادات بمخرجات البناء من أجل سجلات المصدرية.

مراجعة تراخيص التبعيات

استخدام مخرجات Syft لتحديد تراخيص الحزم وإعداد مدخلات مراجعة الامتثال.

جرّب هذه الموجّهات

إنشاء أول SBOM 
ساعدني على إنشاء CycloneDX SBOM لصورة الحاوية الخاصة بي باستخدام Syft. اطلب اسم الصورة إذا كان مفقودًا.
فحص دليل المشروع 
أرشدني خلال إنشاء SBOM لدليل هذا المشروع. ضمّن اختيار الصيغة والاستثناءات وخطوات التحقق.
إضافة تكامل CI 
راجع مسار CI الخاص بي وأضف إنشاء SBOM مع رفع العناصر. ثبّت إصدارات الأدوات وتجنب مثبّتات shell البعيدة.
تصميم سير عمل المصدرية 
صمّم سير عمل لإدارة SBOM والثغرات لإصدار حاوية متعدد المعماريات. ضمّن التوقيع والتحقق والاحتفاظ بالأدلة.

أفضل الممارسات

  • ثبّت إصدارات أدوات الفحص وتحقق من الأدوات التي يتم تنزيلها قبل تشغيلها في CI.
  • خزّن ملفات SBOM مع بيانات تعريف البناء بحيث يرتبط كل عنصر بإصدار.
  • قيّد الوصول إلى SBOM عندما تكشف أسماء الحزم عن بنية داخلية خاصة.

تجنب

  • لا تمرر نصوص التثبيت البرمجية البعيدة مباشرة إلى shell.
  • لا تتعامل مع ملفات SBOM المُنشأة على أنها كاملة دون إجراء فحص موضعي لاكتشاف الحزم.
  • لا تنشر ملفات SBOM التي تحتوي على تفاصيل حزم داخلية ما لم تتم الموافقة على الإفصاح.

الأسئلة المتكررة

ما الذي يساعدني هذا skill على إنشائه؟
يساعد على إنشاء ملفات SBOM باستخدام Syft للحاويات والأدلة والأرشيفات وسير عمل الإصدارات.
ما صيغ SBOM التي يتم تغطيتها؟
يغطي CycloneDX وSPDX ومخرجات Syft الأصلية وإرسال تبعيات GitHub والصيغ النصية.
هل يمكنه فحص الثغرات مباشرة؟
يشرح كيفية إقران ملفات Syft SBOM مع Grype أو أدوات فحص ثغرات مشابهة.
هل يتطلب Docker؟
Docker مفيد لسير عمل الحاويات، لكن Syft المحلي يمكنه فحص الصور والأرشيفات والأدلة.
هل يمكنه دعم تدقيقات الامتثال؟
يوفر إرشادات لإنشاء SBOM والاحتفاظ بها يمكن أن تدعم جمع أدلة التدقيق.
ما الذي يجب أن أراجعه قبل استخدام القوالب؟
راجع أوامر تثبيت الأدوات وتثبيت الإصدارات والتعامل مع بيانات الاعتماد وضوابط الوصول إلى العناصر.

تفاصيل المطور

المؤلف

AgentSecOps

الترخيص

MIT

إصدار المؤلف

v0.1.0

مراجعة Skillstore

r2

المستودع

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/secsdlc/sbom-syft

مرجع

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

حداثة الصيانة

٢٧‏/٧‏/٢٠٢٦

الاستخدام

7 تنزيلات · 386 مشاهدات

بنية الملفات

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 rule-template.yaml

📁 references/

📄 EXAMPLE.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md

المزيد من AgentSecOps

عرض الكل

مهارات ذات صلة

عرض الكل