Pré-requisitos
Verifique os requisitos de sistema, ambiente e verificador antes de usar o IBM Bob Premium Package para DevSecOps.
Verifique estes requisitos antes de começar a usar o package DevSecOps.
Requisitos do sistema
| Requisito | Detalhes |
|---|---|
| IBM Bob | Versão 2.2.2 ou posterior, instalado e autenticado. |
| Package DevSecOps | Licença ativa do IBM Bob Premium Package para DevSecOps. |
| Sistema operacional | macOS, Linux ou Windows. |
Verificadores
O package DevSecOps usa os seguintes verificadores. Eles são executados no lado do servidor da IBM: a extensão envia o código relevante ao backend do Bob para análise. A IBM gerencia as versões dos verificadores automaticamente; nenhuma instalação separada é necessária.
| Verificador | O que verifica |
|---|---|
| Trivy | Vulnerabilidades em imagens de contêiner, sistemas de arquivos e repositórios Git; segredos e credenciais expostos. |
| Opengrep com regras do Bob | Antipadrões de segurança e problemas de qualidade de código detectados usando o mecanismo Opengrep com regras com curadoria da IBM. |
| KICS (Keeping Infrastructure as Code Secure) | Configurações incorretas em arquivos de infraestrutura como código, incluindo Terraform, Kubernetes, Docker e Ansible. |
Linguagens SAST e tipos de arquivos IaC
As seguintes linguagens e tipos de arquivo são verificados quanto a vulnerabilidades e configurações incorretas.
Linguagens de programação
| Linguagem | Extensões de arquivo |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infraestrutura como código e configuração
| Tipo | Arquivos |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes e Helm | .yaml, .yml |
| Docker e contêineres | Dockerfile, Containerfile |
| Ansible | Playbooks e roles .yaml, .yml |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| Pipelines de CI/CD | Arquivos de configuração do GitHub Actions e GitLab CI |
Ecossistemas da verificação da cadeia de suprimentos
A verificação da cadeia de suprimentos analisa manifestos de pacotes nos seguintes ecossistemas:
| Ecossistema | Arquivos de manifesto | Gerenciadores de pacotes |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, uv.lock, poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml, build.gradle, build.gradle.kts, gradle.lockfile | Maven, Gradle |
Visão geral
Amplie o IBM Bob com recursos de verificação de segurança que detectam vulnerabilidades, configurações incorretas, segredos expostos e riscos da cadeia de suprimentos diretamente no seu IDE.
Primeiros passos
Aprenda a visualizar resultados, corrigir problemas, usar o SafeWrite e trabalhar com o dashboard de segurança no IBM Bob Premium Package para DevSecOps.