Anchore (Syft, Grype et Anchore Enterprise)
Anneau : TRIAL · Domaine : CYBERSECURITY · Éditeur : Anchore
Anchore édite deux outils libres et une plateforme commerciale pour la sécurité de la chaîne d'approvisionnement logicielle. Syft (Apache 2.0, version v1.54.1 du 6 octobre 2026) génère des SBOM à partir d'images de conteneurs et de systèmes de fichiers pour de nombreux écosystèmes (apk, dpkg, RPM, Go, Python, Java, JavaScript, Rust, .NET…) aux formats CycloneDX, SPDX et Syft JSON, avec attestations signées in-toto ; il catalogue aussi des modèles GGUF. Grype (Apache 2.0, v0.120.1 du 6 octobre 2026) scanne images, systèmes de fichiers et SBOM, priorise avec EPSS et KEV et filtre avec OpenVEX. Anchore Enterprise (version 6.2.2 à la date de consultation) ajoute la gestion centralisée des SBOM, l'analyse continue, des paquets de politiques (NIST, CIS, FedRAMP, DISA, PCI DSS, DORA, CRA européen, NIS2), l'inventaire Kubernetes et l'intégration aux outils de CI/CD.
Valeur métier
Pour les équipes DevSecOps qui doivent produire et conserver des SBOM et détecter les vulnérabilités des images avant et après déploiement, notamment face au règlement européen sur la cyber-résilience (CRA), à DORA et à NIS2 : Syft et Grype couvrent le besoin de base sans licence, Anchore Enterprise ajoute la gouvernance centralisée et la conformité. Limites : la plateforme commerciale est une offre de niche face aux plateformes de sécurité plus larges ; les paquets de politiques aident à documenter la conformité sans la garantir ; les cas clients sont des témoignages de l'éditeur (Cisco, Platform One, Iron Bank du DoD américain). À ne pas confondre avec Anchore Engine, abandonné.
Valeur IA
Fonctions d'IA limitées : Syft inventorie des modèles GGUF dans les SBOM pour suivre les composants d'IA.
Tags : sbom, container-security, vulnerability-scanning, supply-chain, devsecops, syft, grype, cra