2021 decemberében napokon belül helyreállították, a Log4j termelésben való jelenlétének megtalálása sokkal hosszabb időt vett igénybe. Log4Szerkesztés A legtöbb érintett Java projekt Log4j-t közvetett függőségként tartalmazott, amit nem közvetlenül választottak. 80%-uknak volt öt vagy több szintje a függőségi fájában.A biztonsági csapatok a nyaralásokat a JAR-ok/építések átfogásával töltötték, és ismétlődő kereséseket végeztek több száz repos-on, megpróbálva megválaszolni egy olyan kérdést, amely triviálisnak kellett volna lennie: what's in our software? A patch elérhető volt. The problem was inventory Átmeneti függőségek Ön hozzáadja Egy Node.js projekthez. Express igények Body-parser igények Raw-body igények Egy csomag fává válik. express body-parser raw-body unpipe 
 
 
 Közvetlen függőségek: Mit helyez el a package.json Átmeneti függőségek: Minden, amit ezek a csomagok húznak Egy Az arány ökoszisztémánként változik, a Maven megerősíti a függőségeket több mint npm, ami megerősíti a PyPI-t, de a minta tartja, közvetlen függőségek lehetnek a tucatokban. Iván jelentése A fa minden csomagjának megvannak a saját karbantartói, kiadási gyakorlatai és biztonsági pozíciói. Néhányat a nagyvállalatok csapatai tartanak fenn. Mások olyan mellékprojektek, amelyek három évig nem láttak kompromisszumot. A   2018-ban ezt kihasználta. egy karbantartó egy népszerű npm csomagot adott át valakinek, aki felajánlotta, hogy segít. mint függőség, hogy a csomag tartalmazott homályos kódot célzó Copay bitcoin pénztárcák, két millió heti letöltések folytatódott hónapokig, mielőtt bárki észrevette event-stream támadás flatmap-stream A rosszindulatú kódot a Ez egy szinten mélyebb volt, egy átmeneti függőségben rejtve, amit senki sem figyelt. event-stream Miért építettem ezt? A csomagkezelők telepítik a függőségeket, megoldják a verziókonfliktusokat és letöltik a csomagokat. Nem mondják meg, mi változott tegnap és ma között. kétszer ugyanazt az eredményt hozza, de nem könnyű összehasonlítani a keddi függőségi fát a hétfői npm install A sebezhetőségi szkennerek megtalálják az ismert CVE-ket, összeegyeztetik a csomagverziókat a nyilvánosságra hozott sebezhetőségi adatbázisokkal. Nem mondanak neked olyan csomagokról, amelyek még sebezhetőek, olyan csomagokról, amelyek a következő Log4j-ké válhatnak. Zárja be a fájlok pin verzióit. Biztosítják a reprodukálható felépítéseket és megakadályozzák a váratlan frissítéseket. Nem segítenek megérteni, hogy milyen 47 új csomag lépett be a kódbázisba, amikor valaki új függőséget adott hozzá. 
 
 Jó szerencsét, ha ezt a PR-ben felülvizsgálja Jó szerencsét, ha ezt a PR-ben felülvizsgálja Mi hiányzik összehasonlítás, készítsen egy pillanatképet a függőségeiről ma. Hozzon létre egy másik holnap. Szórja meg őket. Lásd pontosan, mi változott: új csomagok, eltávolított csomagok, verziófrissítések, licencváltozások Ezt teszik lehetővé az MSZP-k. a felsorolja a szoftver minden komponensét, közvetlen és átmeneti, verziókkal, licencekkel és hashekkel.Két SBOM összehasonlítása és egyértelmű képet kap arról, hogy mi a különbség Software Bill of Materials Olyan eszközt akartam, amely diff SBOM-okat, gyanús változásokat jelez, és végrehajtja a politikákat a CI-ben. nem találtam olyan eszközt, amely úgy működött, ahogy szerettem volna, ezért építettem Csúszás beállítva # Install to ./bin
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh

# Install to /usr/local/bin (requires sudo)
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sudo sh -s -- -b /usr/local/bin

# Install specific version
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh -s -- -v 0.2.0
 $ sbomlyze --version
sbomlyze v0.2.3
 Szükséged lesz egy SBOM generátorra. , amely támogatja a legtöbb csomag ökoszisztémát és konténerképeket (ezek a legjobbak) Cél curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin
 Célzott kimenetek vagy SPDX formátumban. sbomlyze mindkettőt olvassa el. Ciklonizálás Példa: Expressz hozzáadása Íme egy minimális példa arra, hogy mi történik, ha egyetlen függőséget ad hozzá. V1 - lodash only: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21"
  }
}
--------------
 npm install
syft . -o cyclonedx-json > ../v1-sbom.json
 V2 - add express: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21",
    "express": "^4.18.2"
  }
}
---------------
 npm install
syft . -o cyclonedx-json > ../v2-sbom.json
 Diff: sbomlyze v1-sbom.json v2-sbom.json
 Output: 📊 Drift Summary:
  ⚠️  Integrity drift: 1 components (hash changed without version change!)

+ Added (68):
  + accepts 1.3.8
  + array-flatten 1.1.1
  + body-parser 1.20.4
  + bytes 3.1.2
  + call-bind-apply-helpers 1.0.2
  + call-bound 1.0.4
  + content-disposition 0.5.4
  + content-type 1.0.5
  + cookie 0.7.2
  + cookie-signature 1.0.7
  + debug 2.6.9
  + depd 2.0.0
  + destroy 1.2.0
  + dunder-proto 1.0.1
  + ee-first 1.1.1
  + encodeurl 2.0.0
  + es-define-property 1.0.1
  + es-errors 1.3.0
  + es-object-atoms 1.1.1
  + escape-html 1.0.3
  + etag 1.8.1
  + express 4.22.1
  + finalhandler 1.3.2
  + forwarded 0.2.0
  + fresh 0.5.2
  + function-bind 1.1.2
  + get-intrinsic 1.3.0
  + get-proto 1.0.1
  + gopd 1.2.0
  + has-symbols 1.1.0
  + hasown 2.0.2
  + http-errors 2.0.1
  + iconv-lite 0.4.24
  + inherits 2.0.4
  + ipaddr.js 1.9.1
  + math-intrinsics 1.1.0
  + media-typer 0.3.0
  + merge-descriptors 1.0.3
  + methods 1.1.2
  + mime 1.6.0
  + mime-db 1.52.0
  + mime-types 2.1.35
  + ms 2.0.0
  + negotiator 0.6.3
  + object-inspect 1.13.4
  + on-finished 2.4.1
  + parseurl 1.3.3
  + path-to-regexp 0.1.12
  + proxy-addr 2.0.7
  + qs 6.14.1
  + range-parser 1.2.1
  + raw-body 2.5.3
  + safe-buffer 5.2.1
  + safer-buffer 2.1.2
  + send 0.19.2
  + serve-static 1.16.3
  + setprototypeof 1.2.0
  + side-channel 1.1.0
  + side-channel-list 1.0.0
  + side-channel-map 1.0.1
  + side-channel-weakmap 1.0.2
  + statuses 2.0.2
  + toidentifier 1.0.1
  + type-is 1.6.18
  + unpipe 1.0.0
  + utils-merge 1.0.1
  + vary 1.1.2

! Duplicates in second SBOM (1):
  ! ms: [2.0.0 2.1.3]
 Egy sor változás a package.json hozzáadva A csomagolás, a projekt a Összehasonlítás: 71 68 3 A PR t diff bemutató A Átmeneti csomagok nem jelennek meg sehol a kód felülvizsgálatban, láthatatlanok, hacsak nem generál SBOM-okat és összehasonlítja őket "added express to dependencies" 67 Ez tipikus. A legtöbb keretrendszer több tucat átmeneti függőséget vonz. React, Angular, Django, Rails, mindegyiknek mély függőségi fái vannak. Mindegyik csomag ugyanazokkal a kiváltságokkal működik a termelésben, mint a saját kódod. A kimenet megértése minden új csomagot felsorolja a függőségi fa, mindegyik most fut a termelésben. Néhány hallott (test-parser, cookie). Más te havent (dunder-proto, gopd, es-object-atoms). Mindegyiknek egyenlő hozzáférése van az alkalmazások memóriájához, hálózatához és fájlrendszeréhez. Added components olyan zászlóshajócsomagok, amelyek ebben a kimenetben többször is megjelennek különböző verziókkal, megjelenik mind a 2.0.0, mind a 2.1.3 formátumban.Az Express különböző részeinek különböző verziókra van szükségük, és az npm mindkettőt telepíti. megkapja a CVE-t, meg kell nyomon követnie a függőségfát, hogy megtalálja az összes utat, amely vonzza, majd frissítse a csomagokat ezen az úton. Duplicates ms ms elkapja azokat az összetevőket, ahol a hash megváltozott, de a verzió ugyanaz maradt. Ez jogszerűen előfordulhat, hogy a csomag karbantartója újjáépíti és közzéteszi a verziót, anélkül, hogy összeütközne, ez is jelezheti a manipulációt. Valaki veszélyezteti a regisztrációs fiókot, a meglévő verziószám alatt módosított kódot tolja. A verzió változatlanul néz ki, de a kód más. Integrity drift Politikai végrehajtás Meghatározhatja a szabályokat, és megsérti azokat.A szabályok lehetővé teszik a szervezeti szabványok kódolását és azok automatikus érvényesítését Főoldal > Jason {
  "max_added": 5,
  "max_removed": 3,
  "max_changed": 10,
  "deny_licenses": ["GPL-3.0", "AGPL-3.0"],
  "require_licenses": false,
  "deny_duplicates": true
}
 sbomlyze v1-sbom.json v2-sbom.json --policy policy.json
 Output when violated ❌ Policy Errors (2):
  [max_added] too many components added: 68 > 5
  [deny_duplicates] found 1 duplicate components in result
 Az 1-es kimeneti kód meghibásodik 
 
 
 
 
 
 
 
 
 
 
 
 Field 
 Function 
 
 
 
 max_added 
 Cap on new packages 
 
 
 
 max_removed 
 Cap on removed packages 
 
 
 
 max_changed 
 Cap on version changes 
 
 
 
 deny_licenses 
 Block specific licenses 
 
 
 
 require_licenses 
 Require license info 
 
 
 
 deny_duplicates 
 Fail on duplicate versions max_added Kapcsolat az új csomagokkal max_removed Cap on eltávolított csomagok max_changed Kapcsolódó változások a verzióban deny_licenses Speciális engedélyek blokkolása require_licenses Információk engedélyhez deny_duplicates Duplikált verziók A küszöbértékek a kódbázisodtól függenek, a Greenfield projekt beállíthatja , A lockeddown függőségekkel létrehozott kódbázis beállíthatja a , kezdje el lazítani, figyelje meg, hogy milyenek a normál PR-k, majd szűkítse meg max_added: 10 max_added: 3 A licencblokkolás a megfelelés szempontjából fontos. Egyes szervezetek nem szállítanak GPL-kódot tulajdonosi termékekben, mások nem használják az AGPL-t SaaS-alkalmazásokban. Duplikált blokkolás szigorúbb, sok törvényes függőség fák duplikátumok. Lehet kezdeni ezzel a letiltott, és engedélyezze azt később, amikor tisztítsa meg a függőség fát. Az integráció Itt van egy GitHub Akciók munkafolyamat, amely SBOM-okat generál mind a báziságra, mind a PR-ágra, majd diffúzálja őket name: SBOM Diff

on:
  pull_request:
    branches: [main]

jobs:
  sbom-diff:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - name: Setup Go
        uses: actions/setup-go@v5
        with:
          go-version: '1.21'

      - name: Install tools
        run: |
          go install github.com/rezmoss/sbomlyze/cmd/sbomlyze@latest
          curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin

      - name: Generate baseline SBOM
        run: |
          git checkout origin/main
          npm ci
          syft . -o cyclonedx-json > baseline.json

      - name: Generate PR SBOM
        run: |
          git checkout ${{ github.head_ref }}
          npm ci
          syft . -o cyclonedx-json > pr.json

      - name: Diff
        run: sbomlyze baseline.json pr.json --policy policy.json
 A munkafolyamat mindkét ágat ellenőrzi, mindegyikre egy SBOM-t generál, és összehasonlítja őket, ha a politika sikertelen, a PR sikertelen A fejlesztők pontosan látják, hogy mely csomagok változtak, és miért tört meg a build Ezt politikafájl nélkül is futtathatja, hogy érvényesítés nélkül láthatóságot kapjon, a diff kimenet megjelenik a CI naplókban. JSON kimenet Az írás és a szerszámkészítés, A JSON beállítása: sbomlyze sbomlyze v1-sbom.json v2-sbom.json --json > diff.json

jq '.diff.added | length' diff.json
jq '.diff.added[].name' diff.json
jq '.diff.duplicates' diff.json
 Ezen felül testreszabott ellenőrzéseket hozhat létre,pkgs zászlót konkrét karbantartóktól. Figyelmeztetés az alacsony letöltési számmal rendelkező csomagokra. Keresztreferencia egy belső engedélyezési listával szemben.A JSON adja meg az adatokat; a logikát írja le konténer képek A konténerképek többet tartalmaznak, mint az alkalmazás kódja, az alapkép az operációs rendszer csomagjait libc, openssl, coreutils. Az alkalmazás hozzáadja futási idejét és függőségeit, egy tipikus konténernek több száz összetevője van több ökoszisztémából A Syft közvetlenül beolvassa a konténerképeket syft nginx:1.24-alpine -o cyclonedx-json > nginx-1.24.json
syft nginx:1.27-alpine -o cyclonedx-json > nginx-1.27.json
sbomlyze nginx-1.24.json nginx-1.27.json
 nginx:1.24-alpine 1,393 komponenssel rendelkezik. nginx:1.27-alpine 1,047, a ver bunp több száz csomagot módosított, Alpine bázis képfrissítések, könyvtár frissítések, eltávolított pkgs Ezek a változások láthatatlanok, ha csak az alkalmazásfüggőségeket követi nyomon, mondja Dockerfile ,a diff egy sort mutat megváltozott, a tényleges változás a telepített szoftver több száz pkgs. FROM nginx:1.27-alpine sbomlyze működik SBOM szinten, így kezeli, amit Syft észlel OS csomagok, alkalmazási függőségek, bináris, konfigurációs fájlok, minden egy diff Egyedülálló SBOM Stats Ha összehasonlítás nélkül szeretne áttekintést kapni egy SBOM-ról sbomlyze v2-sbom.json
 output 📦 SBOM Statistics
==================

Total Components: 71

By Package Type:
  npm          70
  unknown      1

Licenses:
  With license:    69
  Without license: 2

  Top Licenses:
    MIT                            66
    ISC                            2
    BSD-3-Clause                   1

Integrity:
  With hashes:    1
  Without hashes: 70

⚠️  Duplicates Found: 1
  ms: [2.0.0 2.1.3]
 Magas A számlák azt sugallják, hogy a csomagok nem karbantartottak vagy rosszul dokumentáltak, a jogos PC-k általában licencfájlokat tartalmaznak, a hiányzó licencek a megfelelőségi kockázatot is jelezhetik, nem egyértelmű jogi státuszú kódot szállítanak. "without license" Az alacsony hash lefedettség korlátozza az integritás ellenőrzésének képességét. hashek nélkül nem észlelheti, hogy egy csomagot módosítottak-e a közzététele után A váratlan csomagtípusokat érdemes megvizsgálni. Ha a Node.js alkalmazás megmutatja a Python csomagokat, valami húzta őket. Talán egy build eszköz, talán egy teszt keretrendszer, talán valami, ami nem kellene. ajánlások szükséged van alapvonalakra a diff ellen. Tartalmazza a SBOM generációt a kiadási csővezetékben. archiválja őket az építési tárgyak mellett Store SBOMs for each release, syft . -o cyclonedx-json > sbom-v${VERSION}.json
 Ha esemény történik, összehasonlíthatja az érintett verziót a korábbi verziókkal, válaszolhat A régi épületek felújítása nélkül. "when did this package enter our dependency tree?" Még blokkolás nélkül is segít a láthatóság, a felülvizsgálók láthatják a függőségváltozások teljes hatását. válik Ez az összefüggés megváltoztatja a felülvizsgálatot Diff on every PR. "Added axios" "added axios and 12 transitive dependencies" Amennyiben Ön kifejezetten jóváhagyja ( csomagok), írja le, miért kapcsolódik a biztonsági felülvizsgálathoz, vegye figyelembe, hogy ki hagyta jóvá, hat hónappal később, amikor valaki megkérdezi a függőséget, a válasz létezik Document big additions. 68   A diffing azt mutatja, hogy mi változott. A sebezhetőségi szkennelés azt mutatja, hogy mi sérülékeny. Különböző kérdések, mindkettő hasznos. A diffing új függőségeket kap, mielőtt felhalmozódnak a CVE-k. A szkennelés meglévő függőségeket kap, amikor a CVE-ket feltárják. Combine with vulnerability scanning. SBOM Nézze át a függőség fáját. Kutatási csomagok, amelyeket nem ismeri fel. Ellenőrizze a karbantartási állapotot, az utolsó megbízási dátumot, a nyitott kérdéseket, a busz tényezőt. Határozza meg a helyettesítés vagy eltávolítás jelöltjeit. Review quarterly. Összefoglaló # Generate
syft . -o cyclonedx-json > sbom.json

# Compare
sbomlyze baseline.json current.json

# Enforce
sbomlyze baseline.json current.json --policy policy.json
 A Note on Tooling sbomlyze valamit építettem a saját napi munkafolyamat. Sok más SBOM és függőség elemzési eszköz létezik; néhány illik az Ön igényeinek jobban, néhány rosszabb. Nem állítom, hogy semmi más nem működik, vagy hogy ez az egyetlen megoldás. Körülnéztem, nem találtam valamit, ami megfelel, hogyan akartam dolgozni, és építettem a saját. Ha hasznos az Ön számára, nagyszerű. Ha talál valamit, ami jobban működik a helyzet, akkor használja azt. Ha mélyebben belemerülsz ebbe a térbe, mint én vagyok, vagy úgy gondolod, hogy van egy jobb megközelítés, valóban szeretném hallani, problémát nyitni, PR-t küldeni, vagy csak mondd meg, hogy tévedek. A pihenés: https://github.com/rezmoss/sbomlyze

This story contains new, firsthand information uncovered by the writer.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

Ez a hanganyag a történet eredeti nyelvén készült!

SBOM diffing: A függőségváltozások láthatóvá tétele, mielőtt fájnának

About Author

HOZZÁSZÓLÁSOK

HANG TAGOK

EZT A CIKKET BEMUTATTA

Related Stories

THE HABITS OF INSECTS IN RELATION TO THE FERTILISATION OF FLOWERS

And now the important day of the election had arrived

THE LAST DAY OF NEW YORK

Hubble Protocol, a DeFi project on Solana Raises $10 Million Led By Crypto.com Capital, DCG and CMS

THE HABITS OF INSECTS IN RELATION TO THE FERTILISATION OF FLOWERS

And now the important day of the election had arrived

THE LAST DAY OF NEW YORK

Hubble Protocol, a DeFi project on Solana Raises $10 Million Led By Crypto.com Capital, DCG and CMS

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps