Escaneo SCA

El Análisis de Composición de Software (SCA) identifica vulnerabilidades conocidas (CVEs) en las librerías y dependencias de terceros de tu proyecto. Gerion utiliza OSV-Scanner de Google, que consulta la base de datos OSV.

Ejecutar

gerion sca-scan [RUTA]

# Escanear el directorio actual
gerion sca-scan .

# Guardar resultados como JSON
gerion sca-scan . --format json --output-file sca.json

# Enviar resultados a la API de Gerion
gerion sca-scan . --api-url $GERION_API_URL --api-key $GERION_API_KEY

Ecosistemas soportados

| Ecosistema | Ficheros reconocidos | |---|---| | Node.js | package-lock.json, yarn.lock, pnpm-lock.yaml | | Python | requirements.txt, Pipfile.lock, poetry.lock, pyproject.toml | | Go | go.mod, go.sum | | Rust | Cargo.lock | | Java / Maven | pom.xml | | Java / Gradle | gradle.lockfile | | Ruby | Gemfile.lock | | PHP | composer.lock | | .NET | packages.lock.json, packages.config | | Swift | Package.resolved | | Dart / Flutter | pubspec.lock | | Conan (C/C++) | conan.lock | | Linux (Alpine) | paquetes instalados del sistema | | Linux (Debian/Ubuntu) | base de datos dpkg |

Consejo

Para obtener resultados precisos, incluye los ficheros de bloqueo en tu repositorio. Sin ellos, el escáner puede no determinar versiones exactas.

Opciones

| Opción | Descripción | |---|---| | --format | Formato de salida: json | markdown | sarif | | --output-file | Guardar resultados en fichero (deshabilita envío a API) | | --api-url | URL del Gerion API Gateway | | --api-key | API key M2M | | --timeout | Timeout en segundos (defecto: 180) | | --log-level | debug | info | warning | error |

Falsos positivos automáticos

Si la versión instalada del paquete es mayor o igual a la versión que corrige la vulnerabilidad, Gerion marca el hallazgo como falso positivo automáticamente y no lo incluye en los resultados.