소프트웨어 구성 요소의 수집
이미지와 파일 시스템 및 압축 파일에서 패키지를 식별한다. 운영체제 패키지뿐 아니라 Go와 Python 및 Java 같은 언어 생태계의 구성 요소도 다룬다. 프로그램이 어떤 소프트웨어로 구성되어 있는지 목록화하는 것이 중심 기능이다.
다른 도구와 교환하는 명세
구성 명세는 CycloneDX와 SPDX 및 자체 JSON 등 여러 형식으로 출력할 수 있다. 형식 사이의 변환 기능도 제공한다. 결과를 Grype 같은 검사 도구에 전달하면 이미 수집한 패키지 정보를 이용해 취약점을 확인할 수 있다.
서명된 구성 정보
in-toto 규격을 이용한 서명된 SBOM 증명을 생성하는 기능도 제공한다. 구성 목록을 만드는 작업과 그 자료에 대한 서명을 연결하는 방식이다. 목록의 내용과 취약점 여부를 평가하는 작업은 구분되므로 구성 명세 자체가 안전성을 보장하는 것은 아니다.