高级套件IBM Bob DevSecOps 高级包
前提条件
使用 IBM Bob DevSecOps 高级包前，请查看系统、环境和扫描器要求。
在开始使用 DevSecOps 包之前，请查看以下要求。
系统要求
| 要求 | 详细信息 |
|---|---|
| IBM Bob | 版本 2.2.2 或更高版本，已安装并通过身份验证。 |
| DevSecOps 包 | IBM Bob DevSecOps 高级包的有效许可证。 |
| 操作系统 | macOS、Linux 或 Windows。 |
扫描器
DevSecOps 包使用以下扫描器。它们在 IBM 服务器端运行：扩展会将相关代码发送到 Bob 后端进行分析。IBM 自动管理扫描器版本，无需单独安装。
| 扫描器 | 扫描内容 |
|---|---|
| Trivy | 容器镜像、文件系统和 Git 存储库中的漏洞；暴露的密钥和凭据。 |
| 带有 Bob 规则的 Opengrep | 使用 Opengrep 引擎和 IBM 精心整理的规则检测安全反模式和代码质量问题。 |
| KICS (Keeping Infrastructure as Code Secure) | infrastructure as code 文件中的配置错误，包括 Terraform、Kubernetes、Docker 和 Ansible。 |
SAST 语言和 IaC 文件类型
以下语言和文件类型会被扫描以查找漏洞和配置错误。
编程语言
| 语言 | 文件扩展名 |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infrastructure as code 和配置
| 类型 | 文件 |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes 和 Helm | .yaml, .yml |
| Docker 和容器 | Dockerfile, Containerfile |
| Ansible | .yaml, .yml playbook 和 role |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| CI/CD 流水线 | GitHub Actions 和 GitLab CI 配置文件 |
供应链扫描生态系统
供应链扫描会解析以下生态系统中的包清单：
| 生态系统 | 清单文件 | 包管理器 |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt、pyproject.toml、Pipfile、Pipfile.lock、uv.lock、poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml、build.gradle、build.gradle.kts、gradle.lockfile | Maven, Gradle |
这个主题怎么样？