Ön koşullar
IBM Bob Premium Package for DevSecOps'u kullanmadan önce sistem, ortam ve tarayıcı gereksinimlerini gözden geçir.
DevSecOps paketini kullanmaya başlamadan önce bu gereksinimleri gözden geçir.
Sistem gereksinimleri
| Gereksinim | Ayrıntılar |
|---|---|
| IBM Bob | Sürüm 2.2.2 veya üzeri, kurulu ve kimlik doğrulaması yapılmış. |
| DevSecOps paketi | IBM Bob Premium Package for DevSecOps için aktif lisans. |
| İşletim sistemi | macOS, Linux veya Windows. |
Tarayıcılar
DevSecOps paketi aşağıdaki tarayıcıları kullanır. IBM sunucu tarafında çalışırlar: eklenti, analiz için ilgili kodu Bob arka ucuna gönderir. IBM tarayıcı sürümlerini otomatik olarak yönetir; ayrı bir kurulum gerekmez.
| Tarayıcı | Neyi tarar |
|---|---|
| Trivy | Konteyner imajlarındaki, dosya sistemlerindeki ve Git repolarındaki güvenlik açıkları; açığa çıkan gizli bilgiler ve kimlik bilgileri. |
| Opengrep with Bob rules | IBM tarafından derlenen kurallarla Opengrep motoru kullanılarak tespit edilen güvenlik karşıtı kalıplar ve kod kalitesi sorunları. |
| KICS (Keeping Infrastructure as Code Secure) | Terraform, Kubernetes, Docker ve Ansible dahil infrastructure as code dosyalarındaki yanlış yapılandırmalar. |
SAST dilleri ve IaC dosya türleri
Aşağıdaki diller ve dosya türleri güvenlik açıkları ve yanlış yapılandırmalar için taranır.
Programlama dilleri
| Dil | Dosya uzantıları |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infrastructure as code ve yapılandırma
| Tür | Dosyalar |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes ve Helm | .yaml, .yml |
| Docker ve konteynerler | Dockerfile, Containerfile |
| Ansible | .yaml, .yml playbook'ları ve rolleri |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| CI/CD pipeline'ları | GitHub Actions ve GitLab CI yapılandırma dosyaları |
Tedarik zinciri tarama ekosistemleri
Tedarik zinciri taraması, aşağıdaki ekosistemlerdeki paket bildirimlerini ayrıştırır:
| Ekosistem | Bildirim dosyaları | Paket yöneticileri |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt, pyproject.toml, Pipfile, Pipfile.lock, uv.lock, poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml, build.gradle, build.gradle.kts, gradle.lockfile | Maven, Gradle |
Genel Bakış
IBM Bob'u, IDE'den çıkmadan güvenlik açıklarını, yanlış yapılandırmaları, açığa çıkan gizli bilgileri ve tedarik zinciri risklerini tespit eden güvenlik tarama özellikleriyle genişletin.
Başlarken
IBM Bob Premium Package for DevSecOps'ta bulguları görüntüleme, sorunları düzeltme, SafeWrite kullanma ve Security dashboard ile çalışma hakkında bilgi edin.