技能 sbom-syft

📦

sbom-syft

Name: sbom-syft
Author: AgentSecOps

安全 ⚙️ 外部命令🌐 網路存取📁 檔案系統存取🔑 環境變數⚡ 包含腳本

Générer une nomenclature logicielle avec Syft

Les attaques de la chaîne d'approvisionnement logicielle sont en augmentation. Les organisations ont besoin de visibilité sur leurs dépendances logicielles. Cette compétence fournit des instructions étape par étape pour générer des SBOM complets à l'aide de Syft, permettant le suivi des vulnérabilités, la conformité des licences et la provenance sécurisée des logiciels.

支援: Claude Codex Code(CC)

🥉 75 青銅

下載技能 ZIP

在 Claude 中上傳

前往設定 → 功能 → 技能 → 上傳技能

開啟並開始使用

測試它

正在使用「sbom-syft」。 Generate a CycloneDX SBOM for alpine:latest

預期結果:

SBOM généré pour alpine:latest
1 paquet trouvé : alpine-baselayout (3.14.0)
Format : CycloneDX JSON
Sortie enregistrée dans : sbom-cyclonedx.json
Compatible avec : Grype, Trivy, Dependency Track

正在使用「sbom-syft」。 Scan my project directory for Python packages

預期結果:

Analyse du répertoire : /project
45 paquets trouvés dans 3 écosystèmes
Python : flask (2.3.0), requests (2.31.0), pytest (7.4.0)
Sortie : spdx-json=sbom.json
Résumé des licences : MIT (20), Apache-2.0 (15), GPL-3.0 (10)

安全審計

安全

v5 • 1/16/2026

Documentation-only skill providing SBOM generation guidance using Syft CLI tool. No executable code exists in this skill. Static scanner flagged patterns within markdown documentation and YAML templates containing example commands, CI/CD workflows, and security rule templates. All findings are false positives since this skill only contains documentation and templates for legitimate supply chain security workflows.

已掃描檔案

2,228

分析行數

發現項

審計總數

風險因素

⚙️ 外部命令 (110)

🌐 網路存取 (25)

📁 檔案系統存取 (4)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 SKILL.md:193 SKILL.md:437

🔑 環境變數 (27)

⚡ 包含腳本 (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

審計者: claude 查看審計歷史 →

品質評分

架構

100

可維護性

內容

社群

100

安全

100

規範符合性

你能建構什麼

Intégration de pipeline CI/CD

Automatiser la génération de SBOM dans les pipelines de build pour chaque publication de conteneur

Suivi des vulnérabilités

Générer des SBOM pour identifier tous les composants dans les images de conteneurs pour les scanners

Conformité des licences

Extraire et suivre les informations de licence pour toutes les dépendances à des fins de conformité

試試這些提示

SBOM de conteneur de base

Generate a CycloneDX SBOM for the nginx:latest container image using Syft

Analyse du système de fichiers

Scan the /app directory and generate an SPDX-formatted SBOM for Python dependencies

Sortie multi-format

Generate SBOMs in all three formats (CycloneDX, SPDX, Syft JSON) for myapp:v2.0

Intégration de pipeline

Create a GitHub Actions workflow that builds, generates an SBOM, and scans with Grype

最佳實務

Générer les SBOM au moment du build et les stocker aux côtés des images de conteneurs pour la traçabilité
Utiliser des attestations signées avec cosign pour vérifier l'intégrité du SBOM et empêcher toute altération
Intégrer la génération de SBOM dans le CI/CD pour garantir que chaque publication dispose d'une provenance logicielle complète

避免

Générer des SBOM uniquement après un incident de sécurité au lieu de le faire de manière proactive au moment du build
Stocker les SBOM dans des emplacements non sécurisés où ils pourraient être modifiés par des attaquants
Utiliser un seul format SBOM alors que les outils de votre pipeline prennent en charge plusieurs formats

常見問題

Quels formats SBOM Syft prend-il en charge ?

Syft prend en charge CycloneDX JSON/XML, SPDX JSON/tag-value, Syft JSON, GitHub JSON et des modèles personnalisés.

Quels écosystèmes Syft peut-il analyser ?

Syft prend en charge plus de 28 écosystèmes, notamment Python, JavaScript, Go, Java, Ruby, Rust, PHP, .NET et bien d'autres.

Syft peut-il analyser les conteneurs en cours d'exécution ?

Non, Syft analyse les images ou les systèmes de fichiers. Utilisez docker save ou analysez le contenu du répertoire pour les conteneurs en cours d'exécution.

Les données SBOM peuvent-elles être partagées en toute sécurité ?

Les SBOM contiennent des noms et versions de paquets mais peuvent exposer des détails internes. Partagez uniquement avec des parties de confiance.

Pourquoi des paquets manquent-ils dans mon SBOM ?

Essayez d'analyser avec --scope all-layers ou vérifiez que les fichiers du gestionnaire de paquets existent dans l'image.

Comment Syft se compare-t-il à Trivy ?

Syft génère des SBOM tandis que Trivy analyse les vulnérabilités. Ils fonctionnent bien ensemble : Syft crée le SBOM, Trivy l'analyse.