En diciembre de 2021 fue corregido en días.Encontrar dónde Log4j existía en la producción tomó mucho más tiempo. Log4Shell La mayoría de los proyectos de Java afectados tenían Log4j como una dependencia indirecta combinada con otra cosa, no elegida directamente. 80% de ellos tenían cinco o más niveles profundos en su árbol de dependencia. equipos de seguridad pasaron las vacaciones tomando JARs/build y ejecutando búsquedas recursivas en cientos de repos, tratando de responder a una pregunta que debería haber sido trivial: what's in our software? El patch estaba disponible. The problem was inventory Dependencias transitorias Y usted añade Proyecto Node.js con necesidades expresas Necesidades de Body-Parser Necesidades del cuerpo crudo Un paquete se convierte en un árbol. express body-parser raw-body unpipe 
 
 
 Dependencias directas: Lo que has puesto en package.json Dependencias transitivas: todo lo que estos paquetes atraen y Más del 90% de las dependencias en las aplicaciones modernas son indirectas.La proporción varía según el ecosistema, Maven amplifica dependencias más que npm, lo que amplifica más que PyPI, pero el patrón mantiene,las dependencias directas pueden contar en las docenas. Informe de Iván Cada paquete en ese árbol tiene sus propios mantenedores, prácticas de lanzamiento y postura de seguridad. Algunos son mantenidos por equipos de grandes empresas. Otros son proyectos secundarios que no han visto un compromiso en tres años. Desde la perspectiva de su aplicación en ejecución, todos son igualmente confiables. El   En 2018, un mantenedor entregó un popular paquete npm a alguien que se ofreció a ayudar. como una dependencia, ese paquete contenía código obscuro dirigido a las carteras Bitcoin de Copay, dos millones de descargas semanales continuadas durante meses antes de que nadie se diera cuenta event-stream Ataque flatmap-stream El código malicioso se encuentra en Era un nivel más profundo, escondido en una dependencia transitoria que nadie estaba viendo. event-stream ¿Por qué he construido esto? Los gestores de paquetes instalan dependencias, resuelven conflictos de versiones y descargan paquetes. No te dicen lo que cambió entre ayer y hoy. dos veces produce el mismo resultado, pero no puedes comparar fácilmente el árbol de adicción del martes con el del lunes npm install Los escáneres de vulnerabilidades encuentran CVEs conocidos, coinciden con versiones de paquetes contra bases de datos de vulnerabilidades reveladas. No te dicen sobre paquetes que todavía son vulnerables, paquetes que podrían convertirse en el próximo Log4j. Lock archivos versiones pin. Ellos aseguran construcciones reproducibles y evitar actualizaciones inesperadas. No te ayudan a entender qué 47 nuevos paquetes acaban de entrar en tu base de código cuando alguien añadió una nueva dependencia, El archivo de bloqueo dif muestra cientos de líneas de JSON.. 
 
 Buenas noches en un PR Buenas noches en un PR Lo que falta es una comparación, genera una imagen instantánea de tus dependencias hoy. Generar otra mañana. Difundirlas. Ver exactamente lo que ha cambiado: nuevos paquetes, paquetes eliminados, actualizaciones de versiones, cambios de licencia Esto es lo que los SBSs permiten. a enumera cada componente de su software, directo y transitivo, con versiones, licencias y hashes. Compara dos SBOMs y obtiene una imagen clara de lo que es diferente Software Bill of Materials Quería una herramienta para difundir SBOMs, señalar cambios sospechosos y hacer cumplir las políticas en CI. No encontré una que funcionara de la manera que quería, así que construí Sombras Instalación # Install to ./bin
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh

# Install to /usr/local/bin (requires sudo)
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sudo sh -s -- -b /usr/local/bin

# Install specific version
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh -s -- -v 0.2.0
 $ sbomlyze --version
sbomlyze v0.2.3
 Necesitarás un generador SBOM. , que soporta la mayoría de los ecosistemas de paquetes y imágenes de contenedores (son las mejores) Objetivo curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin
 Objetivos de salida o formatos SPDX. sbomlyze lee ambos. Ciclonex Ejemplo: añadir expresiones Aquí está un ejemplo mínimo que muestra lo que sucede cuando agregas una sola dependencia. V1 - lodash only: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21"
  }
}
--------------
 npm install
syft . -o cyclonedx-json > ../v1-sbom.json
 V2 - add express: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21",
    "express": "^4.18.2"
  }
}
---------------
 npm install
syft . -o cyclonedx-json > ../v2-sbom.json
 Diff: sbomlyze v1-sbom.json v2-sbom.json
 Output: 📊 Drift Summary:
  ⚠️  Integrity drift: 1 components (hash changed without version change!)

+ Added (68):
  + accepts 1.3.8
  + array-flatten 1.1.1
  + body-parser 1.20.4
  + bytes 3.1.2
  + call-bind-apply-helpers 1.0.2
  + call-bound 1.0.4
  + content-disposition 0.5.4
  + content-type 1.0.5
  + cookie 0.7.2
  + cookie-signature 1.0.7
  + debug 2.6.9
  + depd 2.0.0
  + destroy 1.2.0
  + dunder-proto 1.0.1
  + ee-first 1.1.1
  + encodeurl 2.0.0
  + es-define-property 1.0.1
  + es-errors 1.3.0
  + es-object-atoms 1.1.1
  + escape-html 1.0.3
  + etag 1.8.1
  + express 4.22.1
  + finalhandler 1.3.2
  + forwarded 0.2.0
  + fresh 0.5.2
  + function-bind 1.1.2
  + get-intrinsic 1.3.0
  + get-proto 1.0.1
  + gopd 1.2.0
  + has-symbols 1.1.0
  + hasown 2.0.2
  + http-errors 2.0.1
  + iconv-lite 0.4.24
  + inherits 2.0.4
  + ipaddr.js 1.9.1
  + math-intrinsics 1.1.0
  + media-typer 0.3.0
  + merge-descriptors 1.0.3
  + methods 1.1.2
  + mime 1.6.0
  + mime-db 1.52.0
  + mime-types 2.1.35
  + ms 2.0.0
  + negotiator 0.6.3
  + object-inspect 1.13.4
  + on-finished 2.4.1
  + parseurl 1.3.3
  + path-to-regexp 0.1.12
  + proxy-addr 2.0.7
  + qs 6.14.1
  + range-parser 1.2.1
  + raw-body 2.5.3
  + safe-buffer 5.2.1
  + safer-buffer 2.1.2
  + send 0.19.2
  + serve-static 1.16.3
  + setprototypeof 1.2.0
  + side-channel 1.1.0
  + side-channel-list 1.0.0
  + side-channel-map 1.0.1
  + side-channel-weakmap 1.0.2
  + statuses 2.0.2
  + toidentifier 1.0.1
  + type-is 1.6.18
  + unpipe 1.0.0
  + utils-merge 1.0.1
  + vary 1.1.2

! Duplicates in second SBOM (1):
  ! ms: [2.0.0 2.1.3]
 Un cambio de línea en package.json añadido En los paquetes, el proyecto se Componentes para *71 68 3 En un PR t diff shows El Los paquetes transitivos no aparecen en ninguna parte en la revisión del código, son invisibles a menos que usted genere SBOMs y los compare. "added express to dependencies" 67 Esto es típico. La mayoría de los frameworks atraen decenas de dependencias transitivas. React, Angular, Django, Rails, todos tienen árboles de dependencias profundas. Cada uno de esos paquetes corre en producción con los mismos privilegios que tu propio código. Comprender el resultado listas cada nuevo paquete en su árbol de adicción, cada uno ahora se ejecuta en producción. Algunos de los que has oído hablar (body-parser, cookie). Otros de los que has habido (dunder-proto, gopd, es-object-atoms). Todos tienen acceso igual a tu memoria de aplicaciones, red y sistema de archivos. Added components paquetes de bandera que aparecen varias veces con diferentes versiones, en esta aparecen como 2.0.0 y 2.1.3.Diversas partes de Express necesitan versiones diferentes, y npm instala ambas. obtiene un CVE, necesita rastrear a través de su árbol de adicción para encontrar cada camino que lo atrae, luego actualizar los paquetes a lo largo de esos caminos. Con una versión, eso es sencillo. Con varias versiones ancladas a diferentes profundidades, se vuelve aburrido Duplicates ms ms captura componentes donde el hash cambió pero la versión permaneció la misma. Esto puede ocurrir legítimamente un mantenedor de paquetes reconstruye y republica sin golpear la versión, también puede indicar manipulación. Alguien compromete una cuenta de registro, empujando el código modificado bajo un número de versión existente. La versión parece inalterada, pero el código es diferente. Integrity drift Políticas de Ejecución Puede definir reglas y construir fallos que las violen. Las políticas le permiten codificar las normas de la organización y aplicarlas automáticamente. La política.Jason {
  "max_added": 5,
  "max_removed": 3,
  "max_changed": 10,
  "deny_licenses": ["GPL-3.0", "AGPL-3.0"],
  "require_licenses": false,
  "deny_duplicates": true
}
 sbomlyze v1-sbom.json v2-sbom.json --policy policy.json
 Output when violated ❌ Policy Errors (2):
  [max_added] too many components added: 68 > 5
  [deny_duplicates] found 1 duplicate components in result
 El código de salida 1 no funciona 
 
 
 
 
 
 
 
 
 
 
 
 Field 
 Function 
 
 
 
 max_added 
 Cap on new packages 
 
 
 
 max_removed 
 Cap on removed packages 
 
 
 
 max_changed 
 Cap on version changes 
 
 
 
 deny_licenses 
 Block specific licenses 
 
 
 
 require_licenses 
 Require license info 
 
 
 
 deny_duplicates 
 Fail on duplicate versions max_added Cap en nuevos paquetes max_removed Cap en los paquetes eliminados max_changed Cambios en la versión deny_licenses Bloqueo de licencias específicas require_licenses Requiere información de licencia deny_duplicates Fracaso en versiones duplicadas Los umbrales dependen de su base de código, un proyecto de campo verde podría establecer , Una base de código establecida con dependencias de lockeddown podría establecer , empiece relajado, observe cómo parecen los PR normales, luego aprieta max_added: 10 max_added: 3 Algunas organizaciones no envían código GPL en productos propietarios, algunas no usan AGPL en aplicaciones SaaS. La política captura estos antes de fusionarse en lugar de durante la revisión legal meses después. El bloqueo de duplicados es más estricto, muchos árboles de adicción legítimos tienen duplicados. La integración Aquí está un flujo de trabajo de acciones de GitHub que genera SBOMs para la rama base y la rama de relaciones públicas, y luego los difunde name: SBOM Diff

on:
  pull_request:
    branches: [main]

jobs:
  sbom-diff:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - name: Setup Go
        uses: actions/setup-go@v5
        with:
          go-version: '1.21'

      - name: Install tools
        run: |
          go install github.com/rezmoss/sbomlyze/cmd/sbomlyze@latest
          curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin

      - name: Generate baseline SBOM
        run: |
          git checkout origin/main
          npm ci
          syft . -o cyclonedx-json > baseline.json

      - name: Generate PR SBOM
        run: |
          git checkout ${{ github.head_ref }}
          npm ci
          syft . -o cyclonedx-json > pr.json

      - name: Diff
        run: sbomlyze baseline.json pr.json --policy policy.json
 El flujo de trabajo comprueba ambas ramas, genera un SBOM para cada una, y las compara, si la política falla, los desarrolladores ven exactamente qué paquetes cambiaron y por qué se rompió la construcción También puede ejecutar esto sin un archivo de política para obtener visibilidad sin ejecución, la salida dif aparece en los registros de CI. Desarrollo de JSON Para la escritura y el uso de herramientas, Desarrollo de JSON: sbomlyze sbomlyze v1-sbom.json v2-sbom.json --json > diff.json

jq '.diff.added | length' diff.json
jq '.diff.added[].name' diff.json
jq '.diff.duplicates' diff.json
 Puede crear controles personalizados en la parte superior de esto, pkgs de bandera de mantenedores específicos. Alerta sobre paquetes con bajos números de descarga. Referencia cruzada contra una lista de permiso interna. El JSON le da los datos; escribe la lógica Imágenes de contenedores Imágenes de contenedores contienen más que el código de su aplicación, la imagen base trae paquetes de OS libc, openssl, coreutils. Su aplicación agrega su tiempo de ejecución y dependencias, un contenedor típico tiene cientos de componentes de varios ecosistemas Syft escanea imágenes de contenedores directamente syft nginx:1.24-alpine -o cyclonedx-json > nginx-1.24.json
syft nginx:1.27-alpine -o cyclonedx-json > nginx-1.27.json
sbomlyze nginx-1.24.json nginx-1.27.json
 nginx:1.24-alpine tiene 1.393 componentes. nginx:1.27-alpine tiene 1.047, el grupo ver cambió cientos de paquetes, actualizaciones de imagen de base alpina, actualizaciones de biblioteca, pkgs eliminados Estos cambios son invisibles si solo rastrea dependencias de aplicaciones, dice Dockerfile ,la dif muestra una línea cambiada, el cambio real a su software desplegado es cientos de pkgs. FROM nginx:1.27-alpine sbomlyze funciona en el nivel SBOM, por lo que maneja lo que Syft detecta paquetes de sistema operativo, dependencias de aplicaciones, binarios, archivos de configuración, todo en una sola dif Estados de SBOM únicos Cuando desea una visión general de un SBOM sin comparación sbomlyze v2-sbom.json
 output 📦 SBOM Statistics
==================

Total Components: 71

By Package Type:
  npm          70
  unknown      1

Licenses:
  With license:    69
  Without license: 2

  Top Licenses:
    MIT                            66
    ISC                            2
    BSD-3-Clause                   1

Integrity:
  With hashes:    1
  Without hashes: 70

⚠️  Duplicates Found: 1
  ms: [2.0.0 2.1.3]
 alta Las cuentas sugieren paquetes que pueden no ser mantenidos o mal documentados, los pkgs legítimos suelen tener archivos de licencia, las licencias perdidas también pueden indicar riesgo de cumplimiento, el código de envío con un estatus legal incierto. "without license" La cobertura de hash baja limita su capacidad para verificar la integridad. Sin hashes, no puede detectar si un paquete fue modificado después de que fue publicado Los tipos de paquetes inesperados valen la pena investigar.Si su aplicación Node.js muestra paquetes de Python, algo los atrajo. Recomendaciones necesitas bases para difundir. Incluya la generación de SBOM en tu tubería de lanzamiento. Arquivalos junto a tus artefactos de construcción Store SBOMs for each release, syft . -o cyclonedx-json > sbom-v${VERSION}.json
 Cuando se produzca un incidente, puede comparar la versión afectada con versiones anteriores, puede responder Sin reconstruir edificios antiguos. "when did this package enter our dependency tree?" Incluso sin bloquear, la visibilidad ayuda, los revisores pueden ver el impacto completo de los cambios de dependencia. Se convierte Este contexto cambia la revisión Diff on every PR. "Added axios" "added axios and 12 transitive dependencies" Cuando se aprueba expresamente ( paquetes), escriba por qué el enlace a la revisión de seguridad, nota quién la aprobó, seis meses después cuando alguien pregunta sobre la dependencia, la respuesta existe Document big additions. 68   la difusión muestra lo que ha cambiado. la exploración de la vulnerabilidad muestra lo que es vulnerable. preguntas diferentes, ambas útiles. la difusión captura nuevas dependencias antes de que acumulen CVEs. la exploración captura las dependencias existentes cuando se revelan CVEs. Combine with vulnerability scanning. SBOM Mire a través de su árbol de adicción. paquetes de investigación que no reconoce. Compruebe el estado de mantenimiento, la última fecha de compromiso, los problemas abiertos, el factor de autobús. Identificar a los candidatos para reemplazar o eliminar. Review quarterly. Resumen # Generate
syft . -o cyclonedx-json > sbom.json

# Compare
sbomlyze baseline.json current.json

# Enforce
sbomlyze baseline.json current.json --policy policy.json
 A Note on Tooling sbomlyze es algo que he construido para mi propio flujo de trabajo diario. Existen muchas otras herramientas de análisis de SBOM y dependencia; algunas pueden adaptarse mejor a tus necesidades, algunas peores. No estoy afirmando que nada más funciona o que esta es la única solución. Miré alrededor, no encontré algo que coincidiera con cómo quería trabajar, y construí mi propio. Si es útil para ti, grande. Si encuentras algo más que funcione mejor para tu situación, entonces use eso. Si estás más profundamente en este espacio que yo, o piensas que hay un enfoque mejor, realmente me gustaría escucharlo, abrir un problema, enviar un PR, o simplemente decirme que estoy equivocado. El Repo: https://github.com/rezmoss/sbomlyze

This story contains new, firsthand information uncovered by the writer.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

Este audio es producido en el idioma original de la historia!

SBOM Diffing: Hacer que los cambios de la dependencia sean visibles antes de que hagan daño

About Author

COMENTARIOS

ETIQUETAS

ESTE ARTÍCULO FUE PRESENTADO EN

Related Stories

Cómo mejorar su flujo de trabajo 10 veces: 17 aplicaciones esenciales

Crecimiento de las criptomonedas: creación de perfiles de usuarios eficaces

La fuga rápida del sistema Claude Sonnet 3.5: un análisis forense

Las capas invisibles: por qué las entrevistas con los usuarios son un activo irremplazable

Cómo mejorar su flujo de trabajo 10 veces: 17 aplicaciones esenciales

Crecimiento de las criptomonedas: creación de perfiles de usuarios eficaces

La fuga rápida del sistema Claude Sonnet 3.5: un análisis forense

Las capas invisibles: por qué las entrevistas con los usuarios son un activo irremplazable

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps