Etiqueta
OSV-Scanner se ha convertido en una referencia silenciosa para escanear dependencias open source. Su valor no está en el escaneo en sí, que muchas herramientas ofrecen, sino en su conexión directa con OSV.dev como fuente de verdad. Un análisis de por qué esto importa más de lo que parece.
La gestión de superficie de ataque basada en CVE ha pasado de lista abstracta a práctica de ingeniería con prioridad real. Repasamos cómo funciona cuando EPSS, KEV y contexto de exposición entran en la misma ecuación.
Después de años acumulando SBOMs, el cuello de botella es filtrar qué CVEs afectan de verdad. VEX aparece como la pieza que convierte el ruido en señal, y en 2025 empieza a tener adopción real en pipelines de supply chain.
Trivy y Grype son las dos herramientas open-source líderes para escanear imágenes de contenedor en pipelines CI/CD. Ambas detectan CVE en paquetes de sistema operativo y dependencias de lenguaje con menos del 5% de diferencia de cobertura. Trivy destaca en el escaneo de IaC; Grype integra de forma nativa el flujo SBOM con Syft.
