패키지에서 찾는 취약점
운영체제의 패키지와 Java 및 Python 같은 언어 생태계의 패키지를 검사한다. 검사 대상에서 식별한 구성 요소를 기준으로 알려진 취약점을 찾아 결과를 제공한다. Docker와 OCI 등의 컨테이너 이미지 형식을 지원한다.
구성 명세를 이용한 검사
이미지나 디렉터리 자체를 검사하는 것 외에 이미 만들어진 SBOM을 입력으로 사용할 수 있다. Syft가 생성한 구성 명세도 검사할 수 있어 소프트웨어 구성 요소를 수집하는 단계와 취약점을 평가하는 단계를 분리할 수 있다.
결과의 우선순위와 맥락
EPSS와 알려진 악용 취약점 목록 및 위험 점수 등의 정보를 결과 판단에 활용할 수 있다. OpenVEX 자료로 검사 결과를 걸러 내거나 맥락을 더하는 기능도 제공한다. 취약점 목록과 실제 조치 우선순위를 함께 검토하는 데 쓰인다.