# Sbom Syft

> Generar inventario de todas las dependencias del sistema (Software Bill of Materials) para auditorías de seguridad

- Skill: `davidcastagnetoa/sbom-syft` (Agent Skill, multi-file: 2 files)
- Install (CLI): `npx skillmds@latest add davidcastagnetoa/sbom-syft`
- Raw SKILL.md: https://api.skillmd.com/api/skills/davidcastagnetoa/sbom-syft/raw
- Safety review: WARNING
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- Author: davidcastagnetoa (https://skillmd.com/u/davidcastagnetoa)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/davidcastagnetoa/sbom-syft

---


# sbom_syft

Syft genera un SBOM (Software Bill of Materials) — un inventario completo y legible por máquinas de todas las dependencias incluidas en las imágenes Docker. Es requerido por regulaciones de seguridad de software (Executive Order 14028) y útil para responder rápidamente ante nuevas CVEs.

## When to use

Generar en el pipeline de CI tras cada build de imagen Docker. Almacenar el SBOM junto al release tag para poder auditarlo posteriormente.

## Instructions

1. Instalar: `brew install syft` o `curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh`.
2. Generar SBOM en formato SPDX-JSON: `syft kyc-api:v1.2.3 -o spdx-json > sbom-v1.2.3.spdx.json`.
3. Integrar en GitHub Actions:
   ```yaml
   - name: Generate SBOM
     uses: anchore/sbom-action@v0
     with:
       image: kyc-api:${{ github.sha }}
       format: spdx-json
       output-file: sbom.spdx.json
   - name: Upload SBOM
     uses: actions/upload-artifact@v3
     with: { name: sbom, path: sbom.spdx.json }
   ```
4. Combinar con Grype para escanear el SBOM en busca de CVEs: `grype sbom:sbom.spdx.json`.
5. Publicar el SBOM en el GitHub Release como asset adjunto.

## Notes

- El SBOM permite responder en minutos a preguntas como "¿estamos afectados por Log4Shell?" — búsqueda en el inventario en lugar de revisar cada imagen manualmente.
- Syft detecta dependencias de sistema operativo (apt), Python (pip), Node.js (npm) y más.