Grype + Syft (by Anchore)

Descripción

• Syft: genera un SBOM (Software Bill of Materials).

• Grype: analiza el SBOM o imagen para encontrar CVEs.

Uso local

# Syft - generar SBOM
syft nginx:latest -o json > sbom.json

# Grype - escanear imagen
grype nginx:latest

# Escanear SBOM generado
grype sbom:sbom.json

Reportes

• JSON, table, CycloneDX, SPDX, SARIF.

• Puede exportarse a sistemas como Sonatype, DefectDojo.

Integración en CI/CD

GitHub Actions oficiales:

- name: Scan current project
  uses: anchore/scan-action@v6
  with:
    path: "."

Integraciones

GitHub (SARIF reports en Security tab).

Slack, Teams, Jira (mediante integraciones manuales/API).

VSCode: No oficial, pero puede usarse vía terminal.

UI

No posee UI propia.

Compatible con Anchore Enterprise UI (versión paga).

Licencia

Open source (Apache 2.0).

Funciona perfectamente en VMs locales.

Facilidad de uso

Fácil. CLI clara, requiere instalación de dos binarios (syft, grype).