高級套件IBM Bob DevSecOps 進階套件
先決條件
使用 IBM Bob DevSecOps 進階套件前，請查看系統、環境和掃描器要求。
在開始使用 DevSecOps 套件之前，請查看以下要求。
系統要求
| 要求 | 詳細資訊 |
|---|---|
| IBM Bob | 版本 2.2.2 或更高版本，已安裝並通過身分驗證。 |
| DevSecOps 套件 | IBM Bob DevSecOps 進階套件的有效授權。 |
| 作業系統 | macOS、Linux 或 Windows。 |
掃描器
DevSecOps 套件使用以下掃描器。它們在 IBM 伺服器端執行：擴充功能會將相關程式碼傳送至 Bob 後端進行分析。IBM 自動管理掃描器版本；無需單獨安裝。
| 掃描器 | 掃描內容 |
|---|---|
| Trivy | 容器映像檔、檔案系統和 Git 儲存庫中的漏洞；洩露的密鑰和憑證。 |
| Opengrep with Bob rules | 使用 Opengrep 引擎搭配 IBM 精選規則偵測安全反模式和程式碼品質問題。 |
| KICS (Keeping Infrastructure as Code Secure) | infrastructure as code 檔案中的設定錯誤，包括 Terraform、Kubernetes、Docker 和 Ansible。 |
SAST 語言與 IaC 檔案類型
以下語言和檔案類型會被掃描漏洞和設定錯誤。
程式語言
| 語言 | 副檔名 |
|---|---|
| JavaScript / TypeScript | .js, .jsx, .mjs, .cjs, .ts, .tsx, .mts, .cts |
| Python | .py, .pyw |
| Java | .java |
| Go | .go |
| C / C++ | .c, .h, .cc, .cpp, .cxx, .hh, .hpp, .hxx |
| PHP | .php, .phtml |
| Ruby | .rb, .rbw |
Infrastructure as code 與設定
| 類型 | 檔案 |
|---|---|
| Terraform / OpenTofu | .tf, .tfvars |
| Kubernetes 和 Helm | .yaml, .yml |
| Docker 和容器 | Dockerfile, Containerfile |
| Ansible | .yaml, .yml playbook 和 role |
| CloudFormation / AWS SAM | .json, .yaml |
| ARM / Bicep | .bicep, .json |
| CI/CD pipeline | GitHub Actions 和 GitLab CI 設定檔 |
供應鏈掃描生態系統
供應鏈掃描會解析以下生態系統中的套件資訊清單：
| 生態系統 | 資訊清單檔案 | 套件管理工具 |
|---|---|---|
| JavaScript / TypeScript | package.json | npm, yarn, pnpm, bun |
| Python | requirements.txt、pyproject.toml、Pipfile、Pipfile.lock、uv.lock、poetry.lock | pip, Poetry, uv, Pipenv |
| Java | pom.xml、build.gradle、build.gradle.kts、gradle.lockfile | Maven, Gradle |
這個主題如何？