Image Package Extractor

La herramienta analiza imágenes OCI usadas en Google Kubernetes Engine (GKE) para extraer los paquetes instalados, identificar los gestores de paquetes en uso y generar un inventario auditable de artefactos. Acepta una referencia de imagen OCI (p. ej., gcr.io/namespace/service:tag) o un tarball local y genera datos legibles por máquina para seguridad, cumplimiento y gestión de artefactos. Usuarios objetivo incluyen ingenieros DevOps, equipos de plataforma y analistas de seguridad que promueven imágenes en pipelines CI/CD y necesitan visibilidad de dependencias, licencias y riesgos antes del despliegue.
Internamente, la herramienta sigue la estructura de la imagen OCI para desempaquetar capas, detecta gestores de paquetes comunes como dpkg, rpm, apk y pacman para enumerar paquetes instalados. Registra metadatos por paquete (nombre, versión, gestor y licencia cuando se detecta) junto con el origen de la capa y el tamaño del artefacto. Para integridad, calcula hashes para verificar artefactos y puede emitir una estructura JSON similar a SBOM. Opciones avanzadas permiten extracción sin conexión desde tarballs locales y comparación frente a una línea base para resaltar paquetes nuevos o modificados.
Beneficios incluyen inventario consistente entre entornos, evaluaciones de riesgo más rápidas y mayor facilidad de integración CI/CD. El valor se obtiene al convertir el contenido bruto de la imagen en datos estructurados que pueden consumir herramientas de seguridad, gobernanza de licencias y pipelines de despliegue. Casos de uso abarcan auditorías previas al despliegue, actualizaciones de imágenes base, conciliación de licencias y verificación de artefactos impulsada por el pipeline. Diferenciadores únicos incluyen flujos de trabajo orientados a GKE, soporte multi-arquitectura robusto y salidas determinísticas diseñadas para alimentar ecosistemas SBOM y procesos de gestión de artefactos.