View a markdown version of this page

Amazon Inspector SBOM 生成器全面操作系统集合 - Amazon Inspector
支持的操作系统构件APK-based 操作系统包收集DPKG-based 操作系统包收集RPM-based 操作系统包收集Windows 操作系统版本集合Chainguard 映像程序包集合Distroless 映像程序包集合MinimOS 程序包集合Docker 强化镜像 包裹收集红帽强化图片 包裹收集
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon Inspector SBOM 生成器全面操作系统集合

Amazon Inspector SBOM 生成器可扫描不同的操作系统，以确保对系统组件进行可靠而详细的分析。生成 SBOM 可以帮助您了解操作系统的构成，从而可识别系统托管程序包中的漏洞。本主题介绍了 Amazon Inspector SBOM 生成器支持的不同操作系统程序包集合的主要特征。有关 Amazon Inspector 支持的操作系统的信息，请参阅 Amazon Inspector 支持的操作系统和编程语言。

支持的操作系统构件

Amazon Inspector SBOM 生成器支持以下操作系统构件：

平台 二元 源 流

Alma Linux

N/A

支持

是

Alpine Linux

是

是

N/A

Amazon Linux

N/A

是

N/A

CentOS

N/A

是

N/A

Chainguard

是

是

N/A

Debian

是

是

N/A

Distroless

是

是

N/A

Fedora

N/A

是

N/A

MinimOS

是

是

N/A

OpenSUSE

N/A

是

N/A

Oracle Linux

N/A

是

N/A

Photon OS

N/A

是

N/A

RHEL

N/A

是

是

Rocky Linux

N/A

是

是

SLES

N/A

是

N/A

Ubuntu

是

是

N/A

Windows

N/A

N/A

N/A

APK-based 操作系统包收集

本节包括基于 APK 的操作系统程序包集合所支持的平台和主要特征。有关更多信息，请参阅 Alpine Linux 网站上的 Alpine Package Keeper。

支持的平台

以下是支持的平台。

  • Alpine Linux

注意

对于基于 APK 的系统，Amazon Inspector SBOM 生成器会从 /lib/apk/db/ 文件中收集程序包元数据。

主要功能

  • 程序包名称集合 – 提取每个已安装程序包的名称

  • 版本集合 – 提取每个已安装程序包的版本

  • 源程序包识别 – 识别每个已安装程序包的源程序包

示例

以下片段是 APK 数据库文件的示例。


C:Q1JlboSJkrN4qkDcokr4zenpcWEXQ=
P:zlib
V:1.2.13-r1
A:x86_64
S:54253
I:110592
T:A compression/decompression Library
U:https://zlib.net/
L:Zlib
o:zlib

DPKG-based 操作系统包收集

本节包括基于 DPKG 的操作系统程序包集合所支持的平台和主要特征。有关更多信息，请参阅 Debian 网站上的 Debian 程序包。

支持的平台

支持以下平台。

  • Debian

  • Ubuntu

注意

对于基于 DPKG 的系统，Amazon Inspector SBOM 生成器会从 /var/lib/dpkg/status 文件中收集程序包元数据。

主要功能

以下是基于 DPKG 的操作系统程序包的主要特征。

  • 程序包名称集合 – 提取每个已安装程序包的名称

  • 版本集合 – 提取每个已安装程序包的版本

  • 源程序包识别 – 识别每个已安装程序包的源程序包

示例

以下片段是 /var/lib/dpkg/ 文件的示例。


Package: zlib1g
Status: install ok installed
Priority: optional
Section: libs
Installed-Size: 168
Maintainer: Mark Brown <broonie@debian.org>
Architecture: amd64
Multi-Arch: same
Source: zlib
Version: 1:1.2.13.dfsg-1
Provides: libz1
Depends: libc6 (>= 2.14)
Breaks: libxml2 (<< 2.7.6.dfsg-2), texlive-binaries (<< 2009-12)
Conflicts: zlib1 (<= 1:1.0.4-7)
Description: compression library - runtime
 zlib is a library implementing the deflate compression method found
 in gzip and PKZIP.  This package includes the shared library.
Homepage: http://zlib.net/

RPM-based 操作系统包收集

本节包括基于 RPM 的操作系统程序包集合所支持的平台和主要特征。有关更多信息，请参阅 RPM 网站上的 RPM 程序包管理器。

支持的平台

支持以下平台。

  • Alma Linux

  • Amazon Linux

  • CentOS

  • Fedora

  • OpenSUSE

  • Oracle Linux

  • PhotonOS

  • RedHat Enterprise Linux

  • Rocky Linux

  • SUSE Linux Enterprise Server

注意

对于基于 RPM 的系统，Amazon Inspector SBOM 生成器会从 /var/lib/rpm 文件中收集程序包元数据。

主要功能

以下是基于 RPM 的操作系统程序包集合的主要特征。

  • 程序包名称集合 – 提取每个已安装程序包的名称

  • 版本集合 – 提取每个已安装程序包的版本

  • 源程序包识别 – 识别每个已安装程序包的源程序包

  • 流支持 – 提取每个已安装程序包的流元数据

示例

以下是 RPM 数据库文件片段的示例。


/usr/lib/sysimage/rpm/rpmdb.sqlite
/usr/lib/sysimage/rpm/Packages
/usr/lib/sysimage/rpm/Packages.db
/var/lib/rpm/rpmdb.sqlite
/var/lib/rpm/Packages
/var/lib/rpm/Packages.db

Windows 操作系统版本集合

与 Linux-based 操作系统不同，Windows 不对操作系统本身使用包管理系统。亚马逊 Inspector SBOM 生成器仅收集 Windows 操作系统版本信息。对于 Windows 应用程序扫描，请改用windows-apps扫描仪。windows-apps扫描器收集有关在 Windows 系统上安装的应用程序的信息。有关更多信息，请参阅微软应用程序 生态系统集合。

主要功能

  • 操作系统版本集合 -从 Windows 注册表中提取 Windows 操作系统版本。提取的操作系统版本用于 Windows 操作系统的漏洞检测。

注册表项和值

以下 Windows 注册表项和值用于收集操作系统名称和版本信息。

  • 注册表密钥 

    HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion

  • 注册表值

    • ProductName— 操作系统名称和版本（例如，"Windows Server 2025 Datacenter"）

    • CurrentMajorVersionNumber— 操作系统的主要版本

    • CurrentMinorVersionNumber— 操作系统的次要版本

    • CurrentBuild— 操作系统的内部版本号

    • UBR— 操作系统的修订版号

Chainguard 映像程序包集合

本节包括 Chainguard 映像程序包集合支持的平台和主要特征。有关更多信息，请参阅 Chainguard 网站上的映像。

支持的平台

支持以下平台

  • Wolfi Linux

注意

对于 Chainguard 映像，Amazon Inspector SBOM 生成器会从 /lib/apk/db/installed 文件中收集程序包元数据。

主要功能

以下是主要特征。

  • 程序包名称集合 – 提取每个已安装程序包的名称

  • 版本集合 – 提取每个已安装程序包的版本

  • 源程序包识别 – 识别每个已安装程序包的源程序包

示例

以下片段是 Chainguard 映像文件的示例。


P:wolfi-keys
V:1-r8
A:x86_64
L:MIT
T:Wolfi signing keyring
o:wolfi-keys

Distroless 映像程序包集合

Distroless 容器是在 Linux 发行版中排除程序包管理器、Shell 和其他实用程序的容器映像。Distroless 容器仅包含运行应用程序以及提高性能和安全性所需的基本依赖关系。

注意

对于 Distroless 映像，Amazon Inspector SBOM 生成器会从 /var/lib/dpkg/status.d 文件中收集程序包元数据。仅支持基于 Debian 和基于 Ubuntu 的发行版。可以通过 /etc/os-release 文件系统中的 NAME 字段来识别它们，该字段显示“Debian”或“Ubuntu”。

主要功能

  • 程序包名称集合 – 提取每个已安装程序包的名称

  • 版本集合 – 提取每个已安装程序包的版本

示例

以下是 Distroless 映像文件的示例。


Package: tzdata
Version: 2021a-1+deb11u10
Architecture: all
Maintainer: GNU Libc Maintainers <debian-glibc@lists.debian.org>
Installed-Size: 3413
Depends: debconf (>= 0.5) | debconf-2.0
Provides: tzdata-bullseye
Section: localization
Priority: required
Multi-Arch: foreign
Homepage: https://www.iana.org/time-zones
Description: time zone and daylight-saving time data
 This package contains data required for the implementation of
 standard local time for many representative locations around the
 globe. It is updated periodically to reflect changes made by
 political bodies to time zone boundaries, UTC offsets, and
 daylight-saving rules.

MinimOS 程序包集合

本节包括 Minimus 映像程序包集合支持的平台和主要特征。有关更多信息，请参阅 Minimus 网站。

支持的平台

支持以下平台。

  • MinimOS

注意

对于 Minimus 映像，Amazon Inspector SBOM 生成器会从 /lib/apk/db/installed 文件中收集程序包元数据。

主要功能

以下是主要特征。

  • 程序包名称集合 – 提取每个已安装程序包的名称

  • 版本集合 – 提取每个已安装程序包的名称

  • 源程序包识别 – 识别每个已安装程序包的源程序包

以下是 Minimus 映像文件的片段。

P:ca-certificates-bundle
V:20241121-r1
A:aarch64
L:MPL-2.0 AND MIT
T:
o:ca-certificates

Docker 强化镜像 包裹收集

Docker Hardened Images(DHI) 是经过安全保护的最小容器映像。亚马逊 Inspector SBOM 生成器会检测其软件包下的DHI图像和命名空间，dhi从而将漏洞与强化发行版相匹配。

检测

DHI版本 2 映像ID=dhi在/etc/os-release文件中报告，其中包含ID_LIKE=alpine或ID_LIKE=debian表示底层基础操作系统。亚马逊 Inspector SBOM 生成器直接从该ID值检测DHI图像，并且不解析该PRETTY_NAME字段。

示例 /etc/os-发布 文件

以下是Debian基于DHI图像的/etc/os-release文件示例。

ID=dhi
ID_LIKE=debian

程序包命名空间

DHI图像中的每个包都在下方命名空间dhi，生成格式为或的软件包 URL。pkg:deb/dhi/<name>@<version> pkg:apk/dhi/<name>@<version>PURL 类型（deb或apk）反映了底层基础操作系统。

PURL 示例

以下是DHI图片中软件包的示例包 URL。

# Debian-based DHI image
pkg:deb/dhi/<name>@<version>

# Alpine-based DHI image
pkg:apk/dhi/<name>@<version>

Hardened-image 标记

当亚马逊 Inspector SBOM 生成器检测到时ID=dhi，它会使用硬化图像标记对图像进行注释：

  • 操作系统组件名称注释为 <base> (Docker Hardened Image) — 例如，。Debian GNU/Linux (Docker Hardened Image)

  • 容器或操作系统组件携带的amazon:inspector:sbom_generator:hardened_image:vendor属性值为。Docker

注意

DHI检测适用于容器、本地主机和卷扫描。

红帽强化图片 包裹收集

Red Hat Hardened Images是基于最低限度的、经过安全性强化的容器镜像。Hummingbird OS亚马逊 Inspector SBOM 生成器会检测这些图像及其包所在的命名空间，hummingbird从而将漏洞与强化发行版进行匹配。

检测

Red Hat Hardened ImagesID=hummingbird在/etc/os-release文件中报告。亚马逊 Inspector SBOM 生成器直接从该ID值检测这些图像。

示例 /etc/os-发布 文件

以下是的/etc/os-release文件示例Red Hat Hardened Image。

ID=hummingbird

程序包命名空间

中的每个包都在下方命名空间hummingbird，从而生成表单的软件包 URL。Red Hat Hardened Image pkg:rpm/hummingbird/<name>@<version>

PURL 示例

以下是中软件包的示例包 URL Red Hat Hardened Image。

pkg:rpm/hummingbird/<name>@<version>

Hardened-image 标记

当亚马逊 Inspector SBOM 生成器检测到时ID=hummingbird，它会使用硬化图像标记对图像进行注释：

  • 容器或操作系统组件携带的amazon:inspector:sbom_generator:hardened_image:vendor属性值为。Red Hat

注意

Red Hat Hardened Images检测适用于容器、本地主机和卷扫描。