Prerequisiti
Verifica i requisiti di sistema, ambiente e scanner prima di usare il IBM Bob Premium Package per DevSecOps.
Verifica questi requisiti prima di iniziare a usare il package DevSecOps.
Requisiti di sistema
| Requisito | Dettagli |
|---|---|
| IBM Bob | Versione 2.2.2 o successiva, installato e autenticato. |
| Package DevSecOps | Licenza attiva per il IBM Bob Premium Package per DevSecOps. |
| Sistema operativo | macOS, Linux o Windows. |
Scanner
Il package DevSecOps utilizza i seguenti scanner. Vengono eseguiti lato server IBM: l'estensione invia il codice rilevante al backend di Bob per l'analisi. IBM gestisce automaticamente le versioni degli scanner; non è richiesta alcuna installazione separata.
| Scanner | Cosa scansiona |
|---|---|
| Trivy | Vulnerabilità in immagini container, file system e repository Git; segreti e credenziali esposti. |
| Opengrep con le regole Bob | Anti-pattern di sicurezza e problemi di qualità del codice rilevati con il motore Opengrep e le regole curate da IBM. |
| KICS (Keeping Infrastructure as Code Secure) | Configurazioni errate nei file di infrastructure as code, tra cui Terraform, Kubernetes, Docker e Ansible. |
Linguaggi SAST e tipi di file IaC
I seguenti linguaggi e tipi di file vengono analizzati alla ricerca di vulnerabilità e configurazioni errate.
Linguaggi di programmazione
| Linguaggio | Estensioni file |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infrastructure as code e configurazione
| Tipo | File |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes e Helm | .yaml, .yml |
| Docker e container | Dockerfile, Containerfile |
| Ansible | Playbook e ruoli .yaml, .yml |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| Pipeline CI/CD | File di configurazione GitHub Actions e GitLab CI |
Ecosistemi della scansione della supply chain
La scansione della supply chain analizza i manifest dei package nei seguenti ecosistemi:
| Ecosistema | File manifest | Package manager |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, uv.lock, poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml, build.gradle, build.gradle.kts, gradle.lockfile | Maven, Gradle |
Panoramica
Estendi IBM Bob con funzionalità di scansione della sicurezza che rilevano vulnerabilità, configurazioni errate, segreti esposti e rischi della supply chain direttamente nel tuo IDE.
Per iniziare
Scopri come visualizzare i risultati, risolvere i problemi, usare SafeWrite e lavorare con la Security dashboard nel IBM Bob Premium Package per DevSecOps.