概述
JFrog Xray是一个通用的软件组合分析(SCA)解决方案，它与Artifactory本地集成，为开发人员和DevSecOps团队提供了一种简单的方法，可以在它们在生产版本中出现之前，主动识别开源漏洞和违反许可的行为。
主要特性和功能
早期检测
Xray早在依赖性声明阶段就识别出安全漏洞和许可证违规，并阻止开发过程中存在安全问题的构建。在从代码到产品的整个软件开发生命周期中，对软件工件和依赖项进行自动化和持续的治理和审计。
本地、云、混合或多云解决方案
Xray可以在本地(自我管理)和云上使用。Xray Cloud托管在您选择的亚马逊网络服务、谷歌云平台或微软Azure上，允许您通过自动服务器备份、免费更新和保证正常运行时间来维护基础设施。
深度递归扫描
x射线递归地扫描工件、构建和发布包在系统中，深入分析影响软件的最小二进制组件。例如，在分析Docker映像时，如果Xray发现它包含Java应用程序，它也会分析所有的Java应用程序. jar此应用程序中使用的文件。
持续影响分析
Xray分析一个组件中的问题如何影响公司中的所有其他组件，并在组件图中显示影响链，使您能够清楚地了解一个组件对另一个组件的影响。它不断更新新的安全漏洞，执行影响分析以确定受问题影响的所有工件。
与Artifactory的本地集成
Xray是唯一的安全扫描工具，是本地集成与JFrog Artifactory。
作为补充产品JFrog Artifactory， Xray可以访问丰富的元数据人工商店，结合深度递归扫描，使Xray处于独特的位置，可以分析二进制工件之间的关系，并为组件架构提供彻底的透明度，以揭示一个组件中的漏洞对任何其他组件的影响。
漏洞数据库
Xray附带了JFrog的漏洞数据库，我们不断向其中添加新的组件漏洞数据。还包括VulnDB，这是业界最全面的安全数据库，可以进一步扩展您可以扫描的漏洞范围。
自定义api驱动的自动化
通过一个开放的REST API， Xray可以让您为系统中的所有组件定义自定义的自动分析方案。
依赖扫描
年代你的来源的依赖关系使用JFrog CLI查找漏洞和许可证违规。
按需二进制扫描
指向a二进制在本地文件系统中，并使用JFrog CLI接收一份报告，其中包含该二进制文件的漏洞和许可列表。
通用工件分析
与…一致JFrog的通用方法，JFrog Xray在CI/CD管道中对所有主要的包格式执行工件分析。Xray了解每个包类型，知道如何解包以及每个底层包含什么。
Xray目前支持以下包格式，并定期添加新格式。
去 |
x射线扫描和索引您的Go注册表，Go模块和Go包包括递归分析、组件图集成和提供详细的元数据信息。 |
PHP |
Xray递归扫描注册表、Zip文件或Docker/ container中的PHP Composer包，无论它们是本地的还是远程的。Xray还检查PHP构建中的任何依赖项。 |
Maven |
使用Xray扫描Maven项目依赖项，并直接从IntelliJ IDE中查看漏洞JFrog IntelliJ Maven插件． |
鲍尔 |
x射线扫描您的鲍尔包并执行影响分析，以确保您组织中的所有组件免受任何违规行为的影响。 |
Gradle |
递归扫描Gradle包及其依赖的不同层，并使用Xray的组件图来显示任何检测到的问题对服务和应用程序的影响。 |
艾薇 |
Xray扫描您的Ivy包并执行影响分析，以确保组织中的所有组件免受任何违规行为的影响。 |
SBT |
递归地扫描您的SBT包并识别组织中受漏洞影响的所有组件，并监视检测到的新问题和漏洞的组件。 |
npm |
Xray识别npm包中的每个Javascript文件，并对每个文件进行匹配和分析，以确保你的npm应用程序可以安全使用。 |
NuGet |
x射线扫描NuGet包，递归地遍历依赖层，以发现任何深度的问题和漏洞。 |
PyPI |
Xray递归地打开Python包及其依赖项的不同层，发现可能影响组织的任何问题和漏洞。 |
码头工人 |
x射线识别Docker映像的每一层中包含的每个组件。这包括在基本映像层中识别部署在操作系统上的包。 |
Debian |
Xray识别部署在Debian或Ubuntu操作系统上的Debian软件包，这些软件包运行在Docker容器的基础层上。扫描每个组件以查找问题和漏洞，从而最大限度地了解软件依赖项。 |
RPM |
Xray识别部署在RedHat或CentOS操作系统上的RPM包，这些包运行在Docker容器的基础层上。扫描每个组件以查找问题和漏洞，从而最大限度地了解软件依赖项。 |
RubyGems |
Xray为你的软件架构提供了透明性，递归地扫描RubyGems包，通过所有级别的依赖来发现问题和漏洞。 |
Alpine |
Xray现在扫描和索引您的Alpine库和Alpine包，包括递归分析，组件图集成，并提供详细的元数据信息。 |
柯南 |
x射线现在扫描柯南包和柯南构建的问题和漏洞。x射线可以识别出这些问题conanmanifest.txt文件。有关更多信息，请参见Conan和C/ c++在Xray中的支持． |
C / c++ |
Xray现在扫描C/ c++构建中的C/ c++依赖项，以识别这些构建中的漏洞。有关更多信息，请参见Conan和C/ c++在Xray中的支持． |
谷歌图像 |
x射线现在可以扫描了谷歌图像只包含您的应用程序及其运行时依赖项。 |
1评论
Prasanna Raghavendra