Requisitos previos
Revisa los requisitos de sistema, entorno y analizador antes de usar el IBM Bob Premium Package para DevSecOps.
Revisa estos requisitos antes de comenzar a usar el package de DevSecOps.
Requisitos del sistema
| Requisito | Detalles |
|---|---|
| IBM Bob | Versión 2.2.2 o posterior, instalado y autenticado. |
| Package DevSecOps | Licencia activa del IBM Bob Premium Package para DevSecOps. |
| Sistema operativo | macOS, Linux o Windows. |
Analizadores
El package de DevSecOps usa los siguientes analizadores. Se ejecutan en el lado del servidor de IBM: la extensión envía el código relevante al backend de Bob para su análisis. IBM gestiona las versiones de los analizadores automáticamente; no se requiere instalación adicional.
| Analizador | Qué analiza |
|---|---|
| Trivy | Vulnerabilidades en imágenes de contenedor, sistemas de archivos y repositorios Git; secretos y credenciales expuestos. |
| Opengrep con reglas de Bob | Antipatrones de seguridad y problemas de calidad del código detectados con el motor Opengrep y reglas curadas por IBM. |
| KICS (Keeping Infrastructure as Code Secure) | Configuraciones incorrectas en archivos de infraestructura como código, incluidos Terraform, Kubernetes, Docker y Ansible. |
Lenguajes SAST y tipos de archivos IaC
Los siguientes lenguajes y tipos de archivos se analizan en busca de vulnerabilidades y configuraciones incorrectas.
Lenguajes de programación
| Lenguaje | Extensiones de archivo |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infraestructura como código y configuración
| Tipo | Archivos |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes y Helm | .yaml, .yml |
| Docker y contenedores | Dockerfile, Containerfile |
| Ansible | Playbooks y roles .yaml, .yml |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| Pipelines de CI/CD | Archivos de configuración de GitHub Actions y GitLab CI |
Ecosistemas del análisis de la cadena de suministro
El análisis de la cadena de suministro procesa los manifiestos de paquetes de los siguientes ecosistemas:
| Ecosistema | Archivos de manifiesto | Gestores de paquetes |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, uv.lock, poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml, build.gradle, build.gradle.kts, gradle.lockfile | Maven, Gradle |
Descripción general
Amplía IBM Bob con funciones de análisis de seguridad que detectan vulnerabilidades, configuraciones incorrectas, secretos expuestos y riesgos en la cadena de suministro directamente en tu IDE.
Primeros pasos
Aprende a ver los hallazgos, resolver problemas, usar SafeWrite y trabajar con el panel de seguridad en el IBM Bob Premium Package para DevSecOps.