Voraussetzungen
Prüfe die System-, Umgebungs- und Scanner-Anforderungen, bevor du das IBM Bob Premium Package für DevSecOps verwendest.
Prüfe diese Anforderungen, bevor du das DevSecOps-Package verwendest.
Systemanforderungen
| Anforderung | Details |
|---|---|
| IBM Bob | Version 2.2.2 oder höher, installiert und authentifiziert. |
| DevSecOps-Package | Aktive Lizenz für das IBM Bob Premium Package für DevSecOps. |
| Betriebssystem | macOS, Linux oder Windows. |
Scanner
Das DevSecOps-Package verwendet die folgenden Scanner. Sie laufen auf der IBM-Serverseite: Die Extension sendet relevanten Code zur Analyse an das Bob-Backend. IBM verwaltet Scanner-Versionen automatisch; keine separate Installation ist erforderlich.
| Scanner | Was er scannt |
|---|---|
| Trivy | Schwachstellen in Container-Images, Dateisystemen und Git-Repositories; freiliegende Secrets und Anmeldedaten. |
| Opengrep with Bob rules | Sicherheits-Anti-Pattern und Code-Qualitätsprobleme, erkannt mit der Opengrep-Engine und von IBM kuratierten Regeln. |
| KICS (Keeping Infrastructure as Code Secure) | Fehlkonfigurationen in Infrastructure-as-Code-Dateien, einschließlich Terraform, Kubernetes, Docker und Ansible. |
SAST-Sprachen und IaC-Dateitypen
Die folgenden Sprachen und Dateitypen werden auf Schwachstellen und Fehlkonfigurationen gescannt.
Programmiersprachen
| Sprache | Dateiendungen |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infrastructure as Code und Konfiguration
| Typ | Dateien |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes und Helm | .yaml, .yml |
| Docker und Container | Dockerfile, Containerfile |
| Ansible | .yaml, .yml Playbooks und Rollen |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| CI/CD-Pipelines | GitHub Actions- und GitLab-CI-Konfigurationsdateien |
Supply-Chain-Scanning-Ökosysteme
Das Supply-Chain-Scanning analysiert Package-Manifests in den folgenden Ökosystemen:
| Ökosystem | Manifest-Dateien | Package-Manager |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, uv.lock, poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml, build.gradle, build.gradle.kts, gradle.lockfile | Maven, Gradle |
Übersicht
Erweitere IBM Bob mit Security-Scanning-Funktionen, die Schwachstellen, Fehlkonfigurationen, freiliegende Secrets und Supply-Chain-Risiken direkt in deiner IDE aufzeigen.
Erste Schritte
Lerne, wie du Findings anzeigst, Probleme behebst, SafeWrite nutzt und mit dem Security-Dashboard im IBM Bob Premium Package für DevSecOps arbeitest.