2021. gada decembrī tas tika patched dažu dienu laikā. atrast, kur Log4j pastāvēja ražošanā aizņēma daudz ilgāk. Log4Shell tīkls Lielākajai daļai ietekmēto Java projektu bija Log4j kā netieša atkarība, kas apvienota ar kaut ko citu, nevis tieši izvēlētu. 80% no tiem bija pieci vai vairāki līmeņi dziļi atkarības kokā. drošības komandas pavadīja brīvdienas, uztverot JARs/build un darbojot recursīvos meklējumus simtiem repos, cenšoties atbildēt uz jautājumu, kas būtu bijis triviāls: what's in our software? Patch bija pieejams. The problem was inventory Pārejas atkarības Jūs pievienojat Node.js projekts. Express vajadzībām Body-parser vajadzības Raw-Body vajadzības Viens iepakojums kļūst par koku. express body-parser raw-body unpipe 
 
 
 Tiešās atkarības: ko jūs ievietojat package.json Pārejas atkarības: viss, ko šie iepakojumi piesaista un Attiecība mainās atkarībā no ekosistēmas, Maven pastiprina atkarības vairāk nekā npm, kas pastiprina vairāk nekā PyPI, bet modelis tur,jūs tiešās atkarības var skaitīt desmitiem.Jūsu pilna atkarības koks bieži skaitās simtiem. Ivanova ziņojums Katram pakotnei šajā kokā ir savi uzturētāji, atbrīvošanas prakse un drošības pozīcija. Dažas no tām uztur komandas lielajos uzņēmumos. Citi ir blakusprojekti, kas nav redzējuši kompromisu trīs gadus. Tās   2018. gadā to izmantoja. uzturētājs nodeva populāru npm paketi kādam, kurš piedāvāja palīdzēt. kā atkarība, ka pakete saturēja neskaidru kodu, kas vērsts uz Copay bitcoin maku, divi miljoni nedēļas lejupielādes turpinājās mēnešus, pirms kāds pamanīja event-stream Uzbrukums flatmap-stream T ļaunprātīgs kods wasnt in Tas bija viens līmenis dziļāks, paslēpts pārejošā atkarībā, kuru neviens neredzēja. event-stream Kāpēc es to uzbūvēju? Paku pārvaldītāji instalē atkarības, atrisina versiju konfliktus un lejupielādē paketes. divreiz rada to pašu rezultātu, bet jūs nevarat viegli salīdzināt otrdienas atkarības koku ar pirmdienas npm install Ievainojamības skeneri atrod zināmas CVEs, Tie atbilst paketes versijām pret atklāto neaizsargātību datubāzēm.Viņi nespēj jums pastāstīt par paketiem, kas joprojām ir neaizsargāti, paketiem, kas varētu kļūt par nākamo Log4j. Slēdz failu pin versijas. Tie nodrošina reproducējamus uzstādījumus un novērš negaidītus atjauninājumus. Tie nepalīdz jums saprast, kādi 47 jauni pakotnes tikko ievadīja jūsu koda bāzi, kad kāds pievienoja jaunu atkarību. 
 
 Labu veiksmi, pārskatot to PR Labu veiksmi, pārskatot to PR Tas, kas trūkst, ir salīdzinājums, šodien izveidojiet savu atkarību snapshot. Rīt izveidojiet vēl vienu. izkliedējiet tos. Redziet tieši to, kas mainījās: jaunas paketes, noņemtās paketes, versijas atjauninājumi, licences izmaiņas Tas ir tas, ko SBOMs ļauj. a uzskaita katru jūsu programmatūras sastāvdaļu, tiešo un pārejošo, ar versijām, licencēm un hash. Salīdziniet divus SBOM un jūs saņemsiet skaidru priekšstatu par to, kas atšķiras Software Bill of Materials Es gribēju rīku, lai izplatītu SBOMs, iezīmētu aizdomīgas izmaiņas un īstenotu politiku CI. Es neatradu vienu, kas darbojās tā, kā es gribēju, tāpēc es izveidoju Smaidīt iestatīšana # Install to ./bin
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh

# Install to /usr/local/bin (requires sudo)
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sudo sh -s -- -b /usr/local/bin

# Install specific version
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh -s -- -v 0.2.0
 $ sbomlyze --version
sbomlyze v0.2.3
 Jums būs nepieciešams SBOM ģenerators. es izmantoju , kas atbalsta lielāko daļu paketes ekosistēmu un konteineru attēlus (tie ir vislabākie) Mērķis curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin
 Mērķa iznākums vai SPDX formātos. sbomlyze lasa abus. CiklonsX Piemērs: pievienojiet Express Šeit ir minimāls piemērs, kas parāda, kas notiek, kad pievienojat vienu atkarību. V1 - lodash only: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21"
  }
}
--------------
 npm install
syft . -o cyclonedx-json > ../v1-sbom.json
 V2 - add express: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21",
    "express": "^4.18.2"
  }
}
---------------
 npm install
syft . -o cyclonedx-json > ../v2-sbom.json
 Diff: sbomlyze v1-sbom.json v2-sbom.json
 Output: 📊 Drift Summary:
  ⚠️  Integrity drift: 1 components (hash changed without version change!)

+ Added (68):
  + accepts 1.3.8
  + array-flatten 1.1.1
  + body-parser 1.20.4
  + bytes 3.1.2
  + call-bind-apply-helpers 1.0.2
  + call-bound 1.0.4
  + content-disposition 0.5.4
  + content-type 1.0.5
  + cookie 0.7.2
  + cookie-signature 1.0.7
  + debug 2.6.9
  + depd 2.0.0
  + destroy 1.2.0
  + dunder-proto 1.0.1
  + ee-first 1.1.1
  + encodeurl 2.0.0
  + es-define-property 1.0.1
  + es-errors 1.3.0
  + es-object-atoms 1.1.1
  + escape-html 1.0.3
  + etag 1.8.1
  + express 4.22.1
  + finalhandler 1.3.2
  + forwarded 0.2.0
  + fresh 0.5.2
  + function-bind 1.1.2
  + get-intrinsic 1.3.0
  + get-proto 1.0.1
  + gopd 1.2.0
  + has-symbols 1.1.0
  + hasown 2.0.2
  + http-errors 2.0.1
  + iconv-lite 0.4.24
  + inherits 2.0.4
  + ipaddr.js 1.9.1
  + math-intrinsics 1.1.0
  + media-typer 0.3.0
  + merge-descriptors 1.0.3
  + methods 1.1.2
  + mime 1.6.0
  + mime-db 1.52.0
  + mime-types 2.1.35
  + ms 2.0.0
  + negotiator 0.6.3
  + object-inspect 1.13.4
  + on-finished 2.4.1
  + parseurl 1.3.3
  + path-to-regexp 0.1.12
  + proxy-addr 2.0.7
  + qs 6.14.1
  + range-parser 1.2.1
  + raw-body 2.5.3
  + safe-buffer 5.2.1
  + safer-buffer 2.1.2
  + send 0.19.2
  + serve-static 1.16.3
  + setprototypeof 1.2.0
  + side-channel 1.1.0
  + side-channel-list 1.0.0
  + side-channel-map 1.0.1
  + side-channel-weakmap 1.0.2
  + statuses 2.0.2
  + toidentifier 1.0.1
  + type-is 1.6.18
  + unpipe 1.0.0
  + utils-merge 1.0.1
  + vary 1.1.2

! Duplicates in second SBOM (1):
  ! ms: [2.0.0 2.1.3]
 Vienas līnijas maiņa package.json pievienots Projekts tika īstenots, un no Sastāvdaļas * 71 68 3 Iepazīšanās ar PR t diff šovi Tās Transitīvie pakotnes neparādās nekur koda pārskatā, tie ir neredzami, ja vien jūs neradāt SBOMs un salīdzināt tos "added express to dependencies" 67 Tas ir tipisks. Lielākā daļa sistēmu piesaista desmitiem pārejas atkarību. React, Angular, Django, Rails, tie visi ir dziļi atkarības koku. Katrs no šiem paketiem darbojas ražošanā ar tām pašām privilēģijām kā jūsu pašu kodu. Izpratne par izeju sarakstu katru jaunu paketi jūsu atkarības koku, katrs tagad darbojas ražošanā. Daži jūs esat dzirdējuši par (korpusa-parser, sīkdatnes). Citi jūs havent (dunder-proto, gopd, es-object-atoms). Viņiem visiem ir vienāda piekļuve jūsu pieteikumu atmiņai, tīklam un failu sistēmai. Added components flags pakotnes, kas parādās vairākas reizes ar dažādām versijām, šajā Dažādām Express daļām ir nepieciešamas dažādas versijas, un npm instalē abas. saņem CVE, jums ir nepieciešams izsekot caur savu atkarības koku, lai atrastu katru ceļu, kas to velk, un pēc tam atjaunināt paketes pa šiem ceļiem. ar vienu versiju, tas ir vienkārši. ar vairākām versijām, kas nestētas dažādos dziļumos, tas kļūst garlaicīgi Duplicates ms ms nokļūst sastāvdaļas, kurās hash mainījās, bet versija palika tāda pati. Tas var notikt likumīgi paketes uzturētājs pārbūvē un atkārtoti publicē, nesaskaroties ar versiju, tas var arī liecināt par manipulāciju. Kāds kompromitē reģistra kontu, nospiež modificētu kodu zem esoša versijas numura. Versija izskatās nemainīta, bet kods ir atšķirīgs. Integrity drifts to izmeklēšanai Integrity drift Politikas īstenošana Jūs varat definēt noteikumus un neveiksmes, kas tos pārkāpj. politikas ļauj kodificēt organizatoriskos standartus un automātiski īstenot tos politikas.json {
  "max_added": 5,
  "max_removed": 3,
  "max_changed": 10,
  "deny_licenses": ["GPL-3.0", "AGPL-3.0"],
  "require_licenses": false,
  "deny_duplicates": true
}
 sbomlyze v1-sbom.json v2-sbom.json --policy policy.json
 Output when violated ❌ Policy Errors (2):
  [max_added] too many components added: 68 > 5
  [deny_duplicates] found 1 duplicate components in result
 Izslēgšanas kods 1 neizdodas 
 
 
 
 
 
 
 
 
 
 
 
 Field 
 Function 
 
 
 
 max_added 
 Cap on new packages 
 
 
 
 max_removed 
 Cap on removed packages 
 
 
 
 max_changed 
 Cap on version changes 
 
 
 
 deny_licenses 
 Block specific licenses 
 
 
 
 require_licenses 
 Require license info 
 
 
 
 deny_duplicates 
 Fail on duplicate versions max_added Cap uz jauniem iepakojumiem max_removed Cap uz noņemtajiem iepakojumiem max_changed CAP versijas izmaiņas deny_licenses Īpašas licences bloķēšana require_licenses Nepieciešama licences informācija deny_duplicates Dubultās versijas kļūdas Sliekšņi ir atkarīgi no jūsu kodu bāzes, Greenfield projekts var iestatīt , Izveidota koda bāze ar lockeddown atkarībām var iestatīt , sāciet atbrīvoties, novērojiet, kā izskatās normālas PR, pēc tam sašauriniet max_added: 10 max_added: 3 Licences bloķēšana attiecas uz atbilstību.Dažas organizācijas neiesniedz GPL kodu patentētajos produktos, dažas neizmanto AGPL SaaS lietojumprogrammās. Duplikāta bloķēšana ir stingrāka, daudziem likumīgiem atkarības kokiem ir dublējumi. Tās integrācija Šeit ir GitHub darbplūsma, kas ģenerē SBOM gan bāzes filiālei, gan PR filiālei, un pēc tam tos izkliedē name: SBOM Diff

on:
  pull_request:
    branches: [main]

jobs:
  sbom-diff:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - name: Setup Go
        uses: actions/setup-go@v5
        with:
          go-version: '1.21'

      - name: Install tools
        run: |
          go install github.com/rezmoss/sbomlyze/cmd/sbomlyze@latest
          curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin

      - name: Generate baseline SBOM
        run: |
          git checkout origin/main
          npm ci
          syft . -o cyclonedx-json > baseline.json

      - name: Generate PR SBOM
        run: |
          git checkout ${{ github.head_ref }}
          npm ci
          syft . -o cyclonedx-json > pr.json

      - name: Diff
        run: sbomlyze baseline.json pr.json --policy policy.json
 Darbplūsma pārbauda abas filiāles, ģenerē SBOM katrai no tām un salīdzina tās, ja politika neizdodas, PR neizdodas Izstrādātāji redz precīzi, kuri pakotnes mainījās un kāpēc uzbūve pārtrauca Jūs varat arī palaist to bez politikas faila, lai iegūtu redzamību bez izpildes,diff iznākums parādās CI žurnālos. JSON izeja par rakstīšanas un pielāgošanas rīkiem, Izveidojiet JSON: sbomlyze sbomlyze v1-sbom.json v2-sbom.json --json > diff.json

jq '.diff.added | length' diff.json
jq '.diff.added[].name' diff.json
jq '.diff.duplicates' diff.json
 Jūs varat izveidot pielāgotas pārbaudes virs tā, flag pkgs no konkrētiem uzturētājiem. Brīdinājums par pakotnēm ar zemu lejupielādes skaitu. Krusta atsauce pret iekšējo atļauju sarakstu. JSON sniedz jums datus; jūs rakstāt loģiku Konteinera attēli Konteinera attēli satur vairāk nekā jūsu lietojumprogrammas kodu, pamata attēls rada OS paketes libc, openssl, coreutils. Jūsu lietojumprogramma pievieno savu izpildes laiku un atkarības, tipisks konteiners ir simtiem komponentu no vairākām ekosistēmām Syft skenē konteinera attēlus tieši syft nginx:1.24-alpine -o cyclonedx-json > nginx-1.24.json
syft nginx:1.27-alpine -o cyclonedx-json > nginx-1.27.json
sbomlyze nginx-1.24.json nginx-1.27.json
 nginx:1.24-alpine ir 1,393 komponenti. nginx:1.27-alpine ir 1,047,ver bunp mainīja simtiem paku, Alpine bāzes attēla atjauninājumi, bibliotēkas atjauninājumi, noņemti pkgs Šīs izmaiņas ir neredzamas, ja jūs tikai izsekojat lietojumprogrammu atkarībām, jūs Dockerfile saka ,diff parāda vienu līniju mainīts, faktiskā maiņa jūsu izvietoto programmatūru ir simtiem pkgs. FROM nginx:1.27-alpine sbomlyze darbojas SBOM līmenī, tāpēc tā apstrādā visu, ko Syft atklāj OS pakotnes, lietojumprogrammu atkarības, binārās, konfigurācijas failus, viss vienā diff Vienota SBOM statuss Kad jūs vēlaties pārskatu par vienu SBOM bez salīdzinājuma sbomlyze v2-sbom.json
 output 📦 SBOM Statistics
==================

Total Components: 71

By Package Type:
  npm          70
  unknown      1

Licenses:
  With license:    69
  Without license: 2

  Top Licenses:
    MIT                            66
    ISC                            2
    BSD-3-Clause                   1

Integrity:
  With hashes:    1
  Without hashes: 70

⚠️  Duplicates Found: 1
  ms: [2.0.0 2.1.3]
 Augstums skaitļi liecina par pakotnēm, kas var nebūt uzturētas vai slikti dokumentētas, likumīgiem pkgs parasti ir licences faili, trūkstošās licences var arī liecināt par atbilstības risku, jūs nosūtāt kodu ar neskaidru juridisko statusu. "without license" Zems hash segums ierobežo jūsu spēju pārbaudīt integritāti. bez hash, jūs nevarat atklāt, ja pakete tika modificēta pēc tam, kad tā tika publicēta Ja jūsu Node.js lietojumprogramma parāda Python paketes, kaut kas viņus vilināja.Varbūt būvēšanas rīks, varbūt testēšanas sistēma, varbūt kaut kas tāds, kam nevajadzētu būt. Ieteikumi Jums ir nepieciešamas bāzes līnijas, lai apkarotu. Iekļaut SBOM ģenerāciju jūsu atbrīvošanas cauruļvados. arhivēt tos kopā ar jūsu celtniecības artefaktiem Store SBOMs for each release, syft . -o cyclonedx-json > sbom-v${VERSION}.json
 Ja notiek incidents, jūs varat salīdzināt ietekmēto versiju ar iepriekšējām versijām, jūs varat atbildēt Neatjaunojot vecās ēkas. "when did this package enter our dependency tree?" Pat bez bloķēšanas, redzamība palīdz, recenzenti var redzēt pilnīgu ietekmi atkarības izmaiņas. kļūst Šis konteksts maina pārskatīšanu Diff on every PR. "Added axios" "added axios and 12 transitive dependencies" Kad jūs apstiprināt Express ( paketes), uzrakstiet, kāpēc saite uz drošības pārskatu, atzīmējiet, kurš to apstiprināja, sešus mēnešus vēlāk, kad kāds jautā par atkarību, atbilde pastāv Document big additions. 68   difing parāda, kas mainījies. neaizsargātības skenēšana parāda, kas ir neaizsargāts. Dažādi jautājumi, abi noderīgi. Difing noķer jaunas atkarības, pirms tās uzkrājas CVE. Scanning noķer esošās atkarības, kad tiek atklātas CVE. Combine with vulnerability scanning. SBOM Pārbaudiet savu atkarības koku. Pētījumu paketes, kuras jūs neatpazīstat. Pārbaudiet tehniskās apkopes statusu, pēdējo kompromisa datumu, atvērtās problēmas, autobusu faktoru. Identificējiet kandidātus aizstāšanai vai noņemšanai. Review quarterly. kopsavilkums # Generate
syft . -o cyclonedx-json > sbom.json

# Compare
sbomlyze baseline.json current.json

# Enforce
sbomlyze baseline.json current.json --policy policy.json
 A Note on Tooling sbomlyze ir kaut kas, ko es izveidoju savu ikdienas darba plūsmu. Ir daudz citu SBOM un atkarību analīzes rīku; daži var atbilst jūsu vajadzībām labāk, daži sliktāk. Es neesmu apgalvojis, ka nekas cits nedarbojas vai ka tas ir vienīgais risinājums. Es paskatījos apkārt, neatradu kaut ko, kas atbilst tam, kā es gribēju strādāt, un izveidoju savu. Ja jūs esat dziļāk šajā telpā, nekā es esmu, vai jūs domājat, ka ir labāka pieeja, es patiesi gribētu to dzirdēt, atvērt problēmu, nosūtīt PR, vai vienkārši pateikt man, ka esmu nepareizs. Atpūtas vieta: https://github.com/rezmoss/sbomlyze

This story contains new, firsthand information uncovered by the writer.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

Šis audio ir izveidots stāsta oriģinālvalodā!

SBOM difūzija: padarot atkarības izmaiņas redzamas, pirms tās sāp

About Author

KOMENTĀRI

PAKARINĀT TAGUS

ŠIS RAKSTS TIKS PĀRSTRĀDĀTS

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps