SARIF (Formato de intercambio de resultados de análisis estático) es un estándar industrial abierto desarrollado por OASIS para lograr una visión coherente de los resultados del análisis estático en formato JSON, independientemente de la herramienta que haya generado los resultados. En lugar de tener que lidiar con diferentes exportaciones propietarias entre plataformas, SARIF proporciona un lenguaje universal para los resultados de seguridad y calidad, lo que permite una verdadera interoperabilidad en toda la cadena de herramientas DevSecOps.
Con las exportaciones SARIF,los resultados de Kiuwan fluyen directamente a GitHub, Azure DevOps, Jira y otras plataformas, sin necesidad de integración personalizada. Un formato, compatibilidad infinita.
Usos comunes:
Estas exportaciones siguen la especificación oficial especificación SARIF 2.1 e incluyen todos los campos obligatorios. Se trata de la especificación oficial mantenida por OASIS.
Sí, las exportaciones SARIF están disponibles a través de la API REST de Kiuwan, lo que permite una integración perfecta en los procesos de CI/CD y los flujos de trabajo de generación de informes automatizados.
SARIF y SBOM (lista de componentes de software) son estándares complementarios que ofrecen una visión completa de la seguridad de las aplicaciones. Mientras que la SBOM recoge los componentes que forman parte del software (dependencias, bibliotecas, versiones), SARIF informa de las vulnerabilidades y los defectos que existen en ese código.
Juntos, permiten realizar una evaluación exhaustiva de los riesgos: el SBOM identifica los componentes vulnerables, mientras que el SARIF ofrece resultados de análisis detallados. Muchas organizaciones exportan ambos formatos desde Kiuwan para crear paneles de seguridad unificados que relacionan las vulnerabilidades con componentes específicos.
SARIF cuenta con un amplio soporte en todo el ecosistema DevSecOps, incluyendo GitHub Advanced Security, Azure DevOps, GitLab, Jenkins y muchas plataformas de coordinación de seguridad.
