Prérequis
Vérifie les exigences système, d'environnement et d'analyseur avant d'utiliser le IBM Bob Premium Package pour DevSecOps.
Vérifie ces exigences avant de commencer à utiliser le package DevSecOps.
Configuration système requise
| Exigence | Détails |
|---|---|
| IBM Bob | Version 2.2.2 ou ultérieure, installée et authentifiée. |
| Package DevSecOps | Licence active pour le IBM Bob Premium Package pour DevSecOps. |
| Système d'exploitation | macOS, Linux ou Windows. |
Analyseurs
Le package DevSecOps utilise les analyseurs suivants. Ils s'exécutent côté serveur IBM : l'extension envoie le code pertinent au backend de Bob pour analyse. IBM gère automatiquement les versions des analyseurs ; aucune installation séparée n'est requise.
| Analyseur | Ce qu'il analyse |
|---|---|
| Trivy | Vulnérabilités dans les images de conteneurs, les systèmes de fichiers et les dépôts Git ; secrets et identifiants exposés. |
| Opengrep avec les règles Bob | Anti-patterns de sécurité et problèmes de qualité du code détectés à l'aide du moteur Opengrep avec des règles préparées par IBM. |
| KICS (Keeping Infrastructure as Code Secure) | Mauvaises configurations dans les fichiers d'infrastructure en tant que code, dont Terraform, Kubernetes, Docker et Ansible. |
Langages SAST et types de fichiers IaC
Les langages et types de fichiers suivants sont analysés à la recherche de vulnérabilités et de mauvaises configurations.
Langages de programmation
| Langage | Extensions de fichier |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infrastructure en tant que code et configuration
| Type | Fichiers |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes et Helm | .yaml, .yml |
| Docker et conteneurs | Dockerfile, Containerfile |
| Ansible | playbooks et rôles .yaml, .yml |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| Pipelines CI/CD | Fichiers de configuration GitHub Actions et GitLab CI |
Écosystèmes pris en charge par l'analyse de la chaîne d'approvisionnement
L'analyse de la chaîne d'approvisionnement analyse les manifestes de packages des écosystèmes suivants :
| Écosystème | Fichiers manifestes | Gestionnaires de packages |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, uv.lock, poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml, build.gradle, build.gradle.kts, gradle.lockfile | Maven, Gradle |
Vue d'ensemble
Étends IBM Bob avec des fonctions d'analyse de sécurité qui détectent les vulnérabilités, les mauvaises configurations, les secrets exposés et les risques liés à la chaîne d'approvisionnement directement dans ton IDE.
Premiers pas
Apprends à consulter les résultats, à résoudre des problèmes, à utiliser SafeWrite et à travailler avec le tableau de bord de sécurité dans le IBM Bob Premium Package pour DevSecOps.