בחודש דצמבר 2021 הוחלף התיקון תוך מספר ימים.למצוא איפה היה Log4j בייצור לקח הרבה יותר זמן. לוגו4Shell רוב פרויקטים Java שהושפעו היו Log4j כאמצעי תלות עקיף בשילוב עם משהו אחר, לא נבחר ישירות. 80% מהם היו חמישה או יותר רמות עמוקות בעץ התמכרות שלהם. what's in our software? החבילה הייתה זמינה. The problem was inventory התמכרות טרנסגנטית אתה מוסיף פרויקט Node.js - דרישות אקספרס הצרכים של Body-Parser הצרכים של Raw-Body חבילה אחת הופכת לעץ. express body-parser raw-body unpipe 
 
 
 תלויות ישירות: מה אתה לשים ב package.json התמכרות טרנזיטיבית: כל החבילות האלה מושכות א מעל 90% מההתמכרות באפליקציות המודרניות היא עקיפה. היחס משתנה על פי האקולוגיה, Maven משפרת תלויות יותר מ- npm, אשר משפרת יותר מ- PyPI,אבל הדפוס מחזיק,אתה יכול לספור תלויות ישירות בעשרות.עץ התמכרות המלא שלך לעתים קרובות מספר במאות. דוח איוונטי לכל חבילה של העץ הזה יש תחזוקה משלה, שיטות שחרור, ועמדת אבטחה. חלקם נשמרים על ידי צוותים בחברות גדולות. The   בשנת 2018 ניצל את זה.משמר נתן חבילת npm פופולרית למישהו שהציע לעזור.משמר חדש הוסיף כמו התמכרות, החבילה המכילה קוד מעוות שמטרתו מטרות מטבעות ביטקוין של Copay, שני מיליון הורדות שבועיות נמשכו חודשים לפני שמישהו שם לב. event-stream התקפה flatmap-stream קוד זדוני WASNT IN זה היה רמה אחת עמוקה יותר, מוסתרת בהסתמכות מעוברת שאף אחד לא צפה בה. event-stream למה אני בונה את זה? מנהלי חבילות להתקין תלויות, לפתור סכסוכי גירסאות ולהוריד חבילות.הם לא אומרים לך מה השתנה בין אתמול להיום. פעמיים מייצרת את אותו התוצאה, אבל אתה לא יכול בקלות להשוות את עץ התמכרות של יום שלישי עם יום שני npm install סורקי פגיעות מוצאים CVEs ידועים, הם מתאימים גרסאות חבילות נגד מסדי נתונים של פגיעות נחשפו. הם לא אומרים לך על חבילות שנראו פגיעות עדיין, חבילות שעשויות להפוך ל- Log4j הבא. הם מבטיחים בניית חוזרת ומונעים עדכונים בלתי צפויים.הם לא עוזרים לך להבין מה 47 חבילות חדשות רק נכנסו בסיס הקוד שלך כאשר מישהו הוסיף תלות חדשה. 
 
 מזל טוב בביקורת על זה ב PR מזל טוב בביקורת על זה ב PR מה שחסר הוא השוואה, ליצור תמונה מהירה של התמכרות שלך היום. ליצור עוד מחר. להפיץ אותם. לראות בדיוק מה השתנה: חבילות חדשות, חבילות הוסרו, עדכוני גרסה, שינויים ברשיון זה מה שהאפליקציות מאפשרות: A רשימה של כל רכיב בתוכנה שלך, ישיר ועבר, עם גירסאות, רישיונות והחסימות.השווה שני SBOMs ואתה מקבל תמונה ברורה של מה שונה Software Bill of Materials רציתי כלי כדי להפיץ SBOMs, דגל שינויים חשודים, ולאכוף מדיניות ב CI. לא מצאתי אחד שעבד כמו שרציתי, אז אני בנה חצוצרה התקנת # Install to ./bin
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh

# Install to /usr/local/bin (requires sudo)
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sudo sh -s -- -b /usr/local/bin

# Install specific version
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh -s -- -v 0.2.0
 $ sbomlyze --version
sbomlyze v0.2.3
 אתה תצטרך גנרטור SBOM. אני משתמש , אשר תומך ברוב מערכות האקולוגיות של חבילות ותמונות מיכל (הם הטובים ביותר) מטרה curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin
 מטרות יציאה או בפורמט SPDX. sbomlyze קורא את שניהם. CycloneXעריכה תגית: Adding Express הנה דוגמה מינימלית המראה מה קורה כאשר אתה מוסיף תלות אחת. V1 - lodash only: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21"
  }
}
--------------
 npm install
syft . -o cyclonedx-json > ../v1-sbom.json
 V2 - add express: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21",
    "express": "^4.18.2"
  }
}
---------------
 npm install
syft . -o cyclonedx-json > ../v2-sbom.json
 Diff: sbomlyze v1-sbom.json v2-sbom.json
 Output: 📊 Drift Summary:
  ⚠️  Integrity drift: 1 components (hash changed without version change!)

+ Added (68):
  + accepts 1.3.8
  + array-flatten 1.1.1
  + body-parser 1.20.4
  + bytes 3.1.2
  + call-bind-apply-helpers 1.0.2
  + call-bound 1.0.4
  + content-disposition 0.5.4
  + content-type 1.0.5
  + cookie 0.7.2
  + cookie-signature 1.0.7
  + debug 2.6.9
  + depd 2.0.0
  + destroy 1.2.0
  + dunder-proto 1.0.1
  + ee-first 1.1.1
  + encodeurl 2.0.0
  + es-define-property 1.0.1
  + es-errors 1.3.0
  + es-object-atoms 1.1.1
  + escape-html 1.0.3
  + etag 1.8.1
  + express 4.22.1
  + finalhandler 1.3.2
  + forwarded 0.2.0
  + fresh 0.5.2
  + function-bind 1.1.2
  + get-intrinsic 1.3.0
  + get-proto 1.0.1
  + gopd 1.2.0
  + has-symbols 1.1.0
  + hasown 2.0.2
  + http-errors 2.0.1
  + iconv-lite 0.4.24
  + inherits 2.0.4
  + ipaddr.js 1.9.1
  + math-intrinsics 1.1.0
  + media-typer 0.3.0
  + merge-descriptors 1.0.3
  + methods 1.1.2
  + mime 1.6.0
  + mime-db 1.52.0
  + mime-types 2.1.35
  + ms 2.0.0
  + negotiator 0.6.3
  + object-inspect 1.13.4
  + on-finished 2.4.1
  + parseurl 1.3.3
  + path-to-regexp 0.1.12
  + proxy-addr 2.0.7
  + qs 6.14.1
  + range-parser 1.2.1
  + raw-body 2.5.3
  + safe-buffer 5.2.1
  + safer-buffer 2.1.2
  + send 0.19.2
  + serve-static 1.16.3
  + setprototypeof 1.2.0
  + side-channel 1.1.0
  + side-channel-list 1.0.0
  + side-channel-map 1.0.1
  + side-channel-weakmap 1.0.2
  + statuses 2.0.2
  + toidentifier 1.0.1
  + type-is 1.6.18
  + unpipe 1.0.0
  + utils-merge 1.0.1
  + vary 1.1.2

! Duplicates in second SBOM (1):
  ! ms: [2.0.0 2.1.3]
 One line change in package.json הוסף פרויקט זה, פרויקט זה יצא מ תגית: 71 68 3 תערוכת PR DIF The חבילות טרנזיטיביות אינן מופיעות בשום מקום בביקורת הקוד, הן בלתי נראות אלא אם כן אתה מייצר SBOMs ולהשוות אותם "added express to dependencies" 67 זה טיפוסי. רוב המסגרות למשוך עשרות תלויות עבר. React, Angular, Django, Rails,כולם יש עצים תלויות עמוקות.כל אחד מהחבילות הללו פועל בייצור עם אותן הזכות כמו הקוד שלך. להבין את התוצאה רשימה כל חבילה חדשה בעץ ההתמכרות שלך, כל אחד עכשיו פועל בייצור. כמה שמעת על (גוף-פרזר, עוגיות). אחרים אתה havent (dunder-proto, gopd, es-object-atoms). הם כולם יש גישה שווה לזיכרון היישומים שלך, רשת, ומערכת קבצים. Added components חבילות דגל המופיעות מספר פעמים עם גירסאות שונות, בתוצאה זו, חלקים שונים של Express זקוקים לגירסאות שונות, ו-npm מתקין את שניהם. לקבלת CVE, אתה צריך לעקוב אחר עץ ההתמכרות שלך כדי למצוא כל נתיב שמשך אותו, ולאחר מכן לעדכן את החבילות לאורך הנתיבים האלה. Duplicates ms ms מקבל רכיבים שבהם השיח השתנה, אך הגרסה נשארה זהה. זה יכול לקרות באופן חוקי, מנהל חבילות מחדש ומפרסם מחדש מבלי לפגוע בגירסה, זה יכול גם להצביע על שינויים. מישהו פוגע בחשבון רישום, דוחף קוד משנה תחת מספר גירסה קיים. הגרסה נראית ללא שינוי, אבל הקוד שונה. Integrity drift אכיפת מדיניות באפשרותך להגדיר כללים ולבנות כישלונות המפרים אותם.מדיניות מאפשרות לך לקודד סטנדרטים ארגוניים ולאכוף אותם באופן אוטומטי תגית: JSON {
  "max_added": 5,
  "max_removed": 3,
  "max_changed": 10,
  "deny_licenses": ["GPL-3.0", "AGPL-3.0"],
  "require_licenses": false,
  "deny_duplicates": true
}
 sbomlyze v1-sbom.json v2-sbom.json --policy policy.json
 Output when violated ❌ Policy Errors (2):
  [max_added] too many components added: 68 > 5
  [deny_duplicates] found 1 duplicate components in result
 קוד יציאה 1 נכשל 
 
 
 
 
 
 
 
 
 
 
 
 Field 
 Function 
 
 
 
 max_added 
 Cap on new packages 
 
 
 
 max_removed 
 Cap on removed packages 
 
 
 
 max_changed 
 Cap on version changes 
 
 
 
 deny_licenses 
 Block specific licenses 
 
 
 
 require_licenses 
 Require license info 
 
 
 
 deny_duplicates 
 Fail on duplicate versions max_added תגית: new packages max_removed Cap on חבילות נמחקות max_changed Cap on שינויים בגרסה deny_licenses בלוק רישיונות ספציפיים require_licenses דרוש רישיון מידע deny_duplicates כשל בגרסאות כפופות גבולות תלויים בסיס הקוד שלך, פרויקט שדה ירוק עשוי להגדיר , בסיס קוד שנקבע עם תלויות lockeddown עשוי להגדיר , להתחיל פנוי, לצפות איך נורמלי PRs נראה, ואז לדחוף max_added: 10 max_added: 3 מחסום הרישיונות הוא עניין של תאימות.ארגונים מסוימים אינם שולחים קוד GPL במוצרים בעלים, חלקם אינם משתמשים ב-AGPL ביישומים SaaS.המדיניות תופסת אותם לפני התאחדות ולא במהלך בדיקה משפטית חודשים מאוחר יותר. חסימה כפולה היא קפדנית יותר,עצים רבים של התמכרות לגיטימית יש כפולים.אתה יכול להתחיל עם זה חסום ולאפשר את זה מאוחר יותר כמו שאתה לנקות את עץ התמכרות שלך. אינטגרציה זו הנה זרימת עבודה של פעולות GitHub המייצרת SBOMs הן עבור הסניף הבסיסי והן עבור הסניף PR, ולאחר מכן משפיעה עליהם name: SBOM Diff

on:
  pull_request:
    branches: [main]

jobs:
  sbom-diff:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - name: Setup Go
        uses: actions/setup-go@v5
        with:
          go-version: '1.21'

      - name: Install tools
        run: |
          go install github.com/rezmoss/sbomlyze/cmd/sbomlyze@latest
          curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin

      - name: Generate baseline SBOM
        run: |
          git checkout origin/main
          npm ci
          syft . -o cyclonedx-json > baseline.json

      - name: Generate PR SBOM
        run: |
          git checkout ${{ github.head_ref }}
          npm ci
          syft . -o cyclonedx-json > pr.json

      - name: Diff
        run: sbomlyze baseline.json pr.json --policy policy.json
 זרימת העבודה בודקת את שני הסניפים, מייצרת SBOM עבור כל אחד מהם ומשווה אותם,אם המדיניות נכשלת, PR נכשלת מפתחים רואים בדיוק אילו חבילות השתנו ולמה הבנייה נפלה אתה יכול גם להפעיל את זה ללא קובץ מדיניות כדי לקבל נראות ללא אימוץ,הפיצוץ diff מופיע בלוגים CI. יציאת JSON על כתיבת תסריטים ושימושים, תגיות JSON: sbomlyze sbomlyze v1-sbom.json v2-sbom.json --json > diff.json

jq '.diff.added | length' diff.json
jq '.diff.added[].name' diff.json
jq '.diff.duplicates' diff.json
 אתה יכול לבנות בדיקות מותאמות אישית על גבי זה,pkgs דגל ממחזיקי תחזוקה ספציפיים. אזהרה על חבילות עם מספר הורדות נמוך. התייחסות בין מול רשימה פנימית.ה- JSON נותן לך את הנתונים; אתה כותב את ההיגיון תמונות של containers תמונות תיבות מכיל יותר מאשר קוד היישום שלך, התמונה הבסיסית מביאה חבילות OS libc, openssl, coreutils. היישום שלך מוסיף את זמני ההפעלה וההתמכרות שלה, תיבה טיפוסית יש מאות רכיבים ממגוון מערכות אקולוגיות Syft סורק תמונות של תיבות ישירות syft nginx:1.24-alpine -o cyclonedx-json > nginx-1.24.json
syft nginx:1.27-alpine -o cyclonedx-json > nginx-1.27.json
sbomlyze nginx-1.24.json nginx-1.27.json
 nginx:1.24-alpine יש 1,393 רכיבים. nginx:1.27-alpine יש 1,047, the ver bunp changed hundreds of packages, Alpine base image updates, library upgrades, removed pkgs שינויים אלה אינם נראים אם אתה רק לעקוב אחר תלויות יישום, אתה Dockerfile אומר ,diff מראה שורה אחת השתנתה, השינוי בפועל לתוכנה המופעלת שלך הוא מאות pkgs. FROM nginx:1.27-alpine sbomlyze עובד ברמה SBOM, כך שהוא מתמודד עם כל מה Syft מזהה חבילות מערכת הפעלה, תלויות יישום, בינארי, קבצי תצורה, הכל באחד diff מדינות SBOM יחיד כאשר אתה רוצה סקירה כללית של SBOM אחד ללא השוואה sbomlyze v2-sbom.json
 output 📦 SBOM Statistics
==================

Total Components: 71

By Package Type:
  npm          70
  unknown      1

Licenses:
  With license:    69
  Without license: 2

  Top Licenses:
    MIT                            66
    ISC                            2
    BSD-3-Clause                   1

Integrity:
  With hashes:    1
  Without hashes: 70

⚠️  Duplicates Found: 1
  ms: [2.0.0 2.1.3]
 גבוה מספרים מצביעים על חבילות שעשויות להיות לא מתוחזקות או מסומנות בצורה גרועה, קבצי רישיון לגיטימיים בדרך כלל יש רישיונות, רישיונות חסרים יכולים גם להצביע על סיכון תאימות, אתה משלוח קוד עם מצב משפטי לא ברור. "without license" כיסוי hash נמוך מגביל את היכולת שלך לאמת את השלמות.ללא hashes, אתה לא יכול לזהות אם חבילה שונה לאחר שפורסמה סוגים בלתי צפויים של חבילות שווה לחקור.אם יישום Node.js שלך מציג חבילות Python, משהו משך אותם.אולי כלי בניית, אולי מסגרת בדיקה, אולי משהו שלא צריך להיות שם. המלצות אתה צריך בסיס לדיף נגד.כלול SBOM דור בתהליך השחרור שלך.ארכיון אותם לצד חפצי הבנייה שלך Store SBOMs for each release, syft . -o cyclonedx-json > sbom-v${VERSION}.json
 כאשר מתרחש אירוע, באפשרותך להשוות את הגירסה המושפעת עם גירסאות קודמות, באפשרותך לענות מבלי לשחזר בניינים ישנים. "when did this package enter our dependency tree?" גם בלי לחסום, נראות עוזרת, מבקרים יכולים לראות את ההשפעה המלאה של שינויים התמכרות. הופך ההקשר הזה משנה את הביקורת Diff on every PR. "Added axios" "added axios and 12 transitive dependencies" כאשר אתה מאשר Express ( חבילות), כתוב מדוע קישור לביקורת האבטחה, שימו לב מי אישר אותה, שישה חודשים מאוחר יותר כאשר מישהו שואל על התמכרות, התשובה קיימת Document big additions. 68   דיפינג מראה מה השתנה. סריקת פגיעות מראה מה פגיעות. שאלות שונות, שניהם שימושיים. דיפינג תופס תלויות חדשות לפני שהם מצטברים CVEs. סריקה תופסת תלויות קיימות כאשר CVEs נחשפים. Combine with vulnerability scanning. SBOM בדוק דרך עץ ההתמכרות שלך. חבילות מחקר שאתה לא מזהה. בדוק מצב תחזוקה, תאריך ההסכם האחרון, בעיות פתוחות, גורם האוטובוס. לזהות מועמדים להחליף או להסיר. Review quarterly. סיכום # Generate
syft . -o cyclonedx-json > sbom.json

# Compare
sbomlyze baseline.json current.json

# Enforce
sbomlyze baseline.json current.json --policy policy.json
 A Note on Tooling sbomlyze הוא משהו שאני בנה עבור זרימת העבודה היומיומית שלי. יש הרבה כלים אחרים SBOM וניתוח תלות קיימים; חלק עשוי להתאים לצרכים שלך טוב יותר, חלק גרוע יותר. אני לא טוען כי שום דבר אחר עובד או שזה הפתרון היחיד. הסתכלתי סביבי, לא מצאתי משהו התאים איך רציתי לעבוד, ובנה את שלי. אם זה שימושי לך, נהדר. אם אתה מוצא משהו אחר שעובד טוב יותר עבור המצב שלך, אז להשתמש בזה. אם אתה עמוק יותר לתוך החלל הזה מאשר אני, או שאתה חושב שיש גישה טובה יותר, אני באמת רוצה לשמוע את זה, לפתוח בעיה, לשלוח PR, או פשוט להגיד לי שאני טועה. מנוחה : https://github.com/rezmoss/sbomlyze

This story contains new, firsthand information uncovered by the writer.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

האודיו הזה מופק בשפת המקור של הסיפור!

SBOM דיפנג: להפוך את השינויים של התמכרות גלוי לפני שהם כואבים

About Author

הערות

תלו תגים

מאמר זה הוצג ב

Related Stories

The TechBeat: Nintendo Breaks Its Silence On Palworld (3/6/2024)

The TechBeat: To Focus or Not Focus: How to Find the Right Product-Market Fit (3/10/2024)

The TechBeat: Investigating Internet Freedom: Unseen Aspects of Our Online Existence (1/22/2024)

The TechBeat: To Focus or Not Focus: How to Find the Right Product-Market Fit (3/14/2024)

The TechBeat: Nintendo Breaks Its Silence On Palworld (3/6/2024)

The TechBeat: To Focus or Not Focus: How to Find the Right Product-Market Fit (3/10/2024)

The TechBeat: Investigating Internet Freedom: Unseen Aspects of Our Online Existence (1/22/2024)

The TechBeat: To Focus or Not Focus: How to Find the Right Product-Market Fit (3/14/2024)

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps