Image Package Extractor

Lo strumento analizza le immagini OCI usate in Google Kubernetes Engine (GKE) per estrarre pacchetti installati, identificare i gestori di pacchetti in uso e generare un inventario verificabile di artefatti. Accetta un riferimento immagine OCI (es. gcr.io/namespace/service:tag) o una tarball locale e produce dati leggibili da macchina per sicurezza, conformità e gestione artefatti. Gli utenti target includono ingegneri DevOps, team di piattaforma e analisti di sicurezza che promuovono immagini nei pipeline CI/CD e necessitano di visibilità su dipendenze, licenze e rischi prima del deployment.
Internamente lo strumento segue il layout delle immagini OCI per estrarre gli strati, poi rileva comuni gestori di pacchetti come dpkg, rpm, apk e pacman per enumerare i pacchetti installati. Registra metadati per pacchetto tra cui nome, versione, gestore e licenza quando rilevato, insieme all’origine dello strato e alle dimensioni dell’artefatto. Per l’integrità, calcola hash per verificare gli artefatti e può emettere una struttura JSON simile a SBOM. Opzioni avanzate permettono estrazione offline da tarball locali e confronto con una baseline per evidenziare pacchetti nuovi o modificati.
I vantaggi includono inventario coerente tra ambienti, valutazioni dei rischi più rapide e integrazione CI/CD facilitata. Lo strumento traduce contenuti immagine grezzi in dati strutturati da utilizzare in strumenti di sicurezza, governance licenze e pipeline di distribuzione. I casi d’uso includono audit pre-deployment, aggiornamenti immagine base, riconciliazione licenze e verifiche artefatti guidate da pipeline. Differenziatori unici includono flussi di lavoro orientati a GKE, robusto supporto multi-arch e output deterministici pensati per alimentare ecosistemi SBOM e processi di gestione artefatti.