Wymagania wstępne
Sprawdź wymagania systemowe, środowiskowe i dotyczące skanerów przed użyciem IBM Bob Premium Package for DevSecOps.
Sprawdź te wymagania przed rozpoczęciem korzystania z pakietu DevSecOps.
Wymagania systemowe
| Wymaganie | Szczegóły |
|---|---|
| IBM Bob | Wersja 2.2.2 lub nowsza, zainstalowana i uwierzytelniona. |
| Pakiet DevSecOps | Aktywna licencja IBM Bob Premium Package for DevSecOps. |
| System operacyjny | macOS, Linux lub Windows. |
Skanery
Pakiet DevSecOps używa następujących skanerów. Działają one po stronie serwera IBM: rozszerzenie wysyła odpowiedni kod do backendu Bob do analizy. IBM automatycznie zarządza wersjami skanerów; oddzielna instalacja nie jest wymagana.
| Skaner | Co skanuje |
|---|---|
| Trivy | Podatności w obrazach kontenerów, systemach plików i repozytoriach Git; ujawnione sekrety i poświadczenia. |
| Opengrep z regułami Boba | Antypattery bezpieczeństwa i problemy z jakością kodu wykrywane przy użyciu silnika Opengrep z regułami kurowanymi przez IBM. |
| KICS (Keeping Infrastructure as Code Secure) | Błędy konfiguracji w plikach infrastructure as code, w tym Terraform, Kubernetes, Docker i Ansible. |
Języki SAST i typy plików IaC
Poniższe języki i typy plików są skanowane pod kątem podatności i błędów konfiguracji.
Języki programowania
| Język | Rozszerzenia plików |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infrastructure as code i konfiguracja
| Typ | Pliki |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes i Helm | .yaml, .yml |
| Docker i kontenery | Dockerfile, Containerfile |
| Ansible | playbooki i role w .yaml, .yml |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| Pipeline'y CI/CD | pliki konfiguracyjne GitHub Actions i GitLab CI |
Ekosystemy skanowania łańcucha dostaw
Skanowanie łańcucha dostaw parsuje manifesty pakietów w następujących ekosystemach:
| Ekosystem | Pliki manifestu | Menedżery pakietów |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, uv.lock, poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml, build.gradle, build.gradle.kts, gradle.lockfile | Maven, Gradle |
Omówienie
Rozszerz IBM Bob o funkcje skanowania zabezpieczeń, które wykrywają podatności, błędy konfiguracji, ujawnione sekrety i zagrożenia łańcucha dostaw bezpośrednio w twoim IDE.
Pierwsze kroki
Dowiedz się, jak przeglądać wyniki, naprawiać problemy, korzystać z SafeWrite i pracować z Security dashboard w IBM Bob Premium Package for DevSecOps.