SBOM Diffing: ทําให้การเปลี่ยนแปลงของความเสพติดเห็นได้ก่อนที่จะเจ็บปวด

ในเดือนธันวาคม 2021 ได้รับการแก้ไขภายในไม่กี่วัน การค้นหาที่ Log4j มีอยู่ในการผลิตใช้เวลานานมาก ล็อก4Shell โครงการ Java ที่ได้รับผลกระทบส่วนใหญ่มี Log4j เป็นความเสี่ยงทางอ้อมรวมกับสิ่งที่อื่น ๆ ที่ไม่ได้เลือกโดยตรง 80% ของพวกเขามีมันห้าหรือมากกว่าระดับลึกในต้นไม้ความเสี่ยงของพวกเขา ทีมงานความปลอดภัยใช้เวลาวันหยุดในการจับผ่าน JARs / build และเรียกใช้การค้นหาย้อนกลับผ่านหลายร้อย repos เพื่อพยายามตอบคําถามที่ควรจะเป็นเรื่องเล็กน้อย: what's in our software? แพทช์ที่มีอยู่ The problem was inventory การพึ่งพาในระยะเวลา คุณเพิ่ม ไปยังโครงการ Node.js. Express needs ความต้องการของ Body-Parser ความต้องการของ Raw-body แพคเกจหนึ่งกลายเป็นต้นไม้ express body-parser raw-body unpipe การพึ่งพาโดยตรง: สิ่งที่คุณใส่ใน package.json การพึ่งพาแบบล่วงหน้า: ทุกอย่างที่แพคเกจเหล่านี้ดึงเข้าไป แอน พบว่ามากกว่า 90% ของความเสพติดในแอพพลิเคชันที่ทันสมัยเป็นอิสระ อัตราส่วนแตกต่างกันไปตามระบบนิเวศ Maven amplifies dependencies มากกว่า npm ซึ่ง amplifies มากกว่า PyPI แต่รูปแบบถือคุณความเสพติดโดยตรงอาจมีจํานวนในทศวรรษ ไม้ความเสพติดของคุณเต็มรูปแบบมักมีจํานวนในหลายร้อย รายงาน Ivanti แพคเกจแต่ละแพคเกจในต้นไม้นั้นมีตัวบํารุงรักษาการเปิดตัวและแนวทางรักษาความปลอดภัยของตัวเอง บางส่วนจะได้รับการบํารุงรักษาโดยทีมงานใน บริษัท ชั้นนํา อื่น ๆ เป็นโครงการด้านข้างที่ไม่ได้รับสัญญาในสามปี จากมุมมองของแอปพลิเคชันที่คุณใช้งานพวกเขามีความไว้วางใจเท่ากัน โซ ในปี 2018 ใช้ประโยชน์จากสิ่งนี้ ผู้ดูแลระบบส่งแพคเกจ npm ที่ได้รับความนิยมให้กับคนที่เสนอความช่วยเหลือ ผู้ดูแลระบบใหม่เพิ่ม ในฐานะที่เป็นความเสพติดแพคเกจนั้นมีรหัสที่ซับซ้อนที่มุ่งเน้นไปที่กระเป๋าสตางค์ Bitcoin ของ Copay การดาวน์โหลดรายสัปดาห์ 2 ล้านครั้งต่อสัปดาห์ต่อเนื่องเป็นเวลาหลายเดือนก่อนที่ทุกคนสังเกตเห็น event-stream การโจมตี flatmap-stream t รหัสที่เป็นอันตราย wasnt ใน มันเป็นระดับหนึ่งที่ลึกซึ้งขึ้นซ่อนอยู่ในความเสพติดที่ผ่านไปซึ่งไม่มีใครสังเกตเห็น event-stream ทําไมฉันสร้างสิ่งนี้ ผู้จัดการแพคเกจติดตั้งความสัมพันธ์ พวกเขาแก้ไขความขัดแย้งของเวอร์ชันและดาวน์โหลดแพคเกจ พวกเขาไม่บอกคุณสิ่งที่เปลี่ยนแปลงระหว่างเมื่อวานและวันนี้ สองครั้งให้ผลเดียวกัน แต่คุณไม่สามารถเปรียบเทียบต้นเสพติดวันอังคารกับต้นเสพติดวันจันทร์ได้ง่าย npm install สแกนเนอร์ความเสี่ยงค้นหา CVEs ที่รู้จักกัน พวกเขาจับคู่รุ่นแพคเกจกับฐานข้อมูลของความเสี่ยงที่เปิดเผย พวกเขาไม่บอกคุณเกี่ยวกับแพคเกจที่ยังคงเป็นความเสี่ยงแพคเกจที่อาจกลายเป็น Log4j ถัดไป เมื่อ CVE มีคุณอยู่ในโหมดปฏิกิริยา ล็อคไฟล์รุ่น pin พวกเขาให้การสร้างที่สามารถทําซ้ําได้และป้องกันการอัปเดตที่ไม่คาดคิด พวกเขาไม่ช่วยให้คุณเข้าใจสิ่งที่ 47 แพคเกจใหม่เข้าสู่ฐานโค้ดของคุณเมื่อใครบางคนเพิ่มความเสี่ยงใหม่, ไฟล์ล็อค diff แสดงหลายร้อยแถวของ JSON.. โชคดีในการตรวจสอบว่าใน PR โชคดีในการตรวจสอบว่าใน PR สิ่งที่ขาดคือการเปรียบเทียบสร้างภาพถ่ายของความเสี่ยงของคุณในวันนี้ สร้างใหม่ในวันพรุ่งนี้ แปลงพวกเขา ดูสิ่งที่เปลี่ยนแปลง: แพคเกจใหม่ แพคเกจถูกลบการปรับปรุงรุ่น การเปลี่ยนแปลงใบอนุญาต นี่คือสิ่งที่ SBOMs ช่วยให้ รายชื่อทุกส่วนประกอบในซอฟต์แวร์ของคุณโดยตรงและผ่านไปพร้อมกับรุ่นใบอนุญาตและ hashes เปรียบเทียบสอง SBOMs และคุณจะได้รับภาพที่ชัดเจนของสิ่งที่แตกต่างกัน Software Bill of Materials ฉันต้องการเครื่องมือในการกระจาย SBOMs หมายถึงการเปลี่ยนแปลงที่น่าสงสัยและบังคับใช้นโยบายใน CI ฉันไม่พบเครื่องมือที่ทํางานตามที่ฉันต้องการดังนั้นฉันจึงสร้าง ระยํา การตั้งค่า # Install to ./bin curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh # Install to /usr/local/bin (requires sudo) curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sudo sh -s -- -b /usr/local/bin # Install specific version curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh -s -- -v 0.2.0 $ sbomlyze --version sbomlyze v0.2.3 คุณจะต้องการเครื่องกําเนิดไฟฟ้า SBOM ฉันใช้ ซึ่งรองรับระบบนิเวศการแพคเกจและภาพคอนเทนเนอร์ส่วนใหญ่ (พวกเขาเป็นที่ดีที่สุด) เป้าหมาย curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin วัตถุประสงค์ หรือรูปแบบ SPDX sbomlyze อ่านทั้งสอง CycloneDX ตัวอย่าง: Adding Express นี่คือตัวอย่างขั้นต่ําที่แสดงให้เห็นว่าสิ่งที่จะเกิดขึ้นเมื่อคุณเพิ่มการพึ่งพาเดียว V1 - lodash only: package.json --------------- { "name": "test-app", "version": "1.0.0", "dependencies": { "lodash": "^4.17.21" } } -------------- npm install syft . -o cyclonedx-json > ../v1-sbom.json V2 - add express: package.json --------------- { "name": "test-app", "version": "1.0.0", "dependencies": { "lodash": "^4.17.21", "express": "^4.18.2" } } --------------- npm install syft . -o cyclonedx-json > ../v2-sbom.json Diff: sbomlyze v1-sbom.json v2-sbom.json Output: 📊 Drift Summary: ⚠️ Integrity drift: 1 components (hash changed without version change!) + Added (68): + accepts 1.3.8 + array-flatten 1.1.1 + body-parser 1.20.4 + bytes 3.1.2 + call-bind-apply-helpers 1.0.2 + call-bound 1.0.4 + content-disposition 0.5.4 + content-type 1.0.5 + cookie 0.7.2 + cookie-signature 1.0.7 + debug 2.6.9 + depd 2.0.0 + destroy 1.2.0 + dunder-proto 1.0.1 + ee-first 1.1.1 + encodeurl 2.0.0 + es-define-property 1.0.1 + es-errors 1.3.0 + es-object-atoms 1.1.1 + escape-html 1.0.3 + etag 1.8.1 + express 4.22.1 + finalhandler 1.3.2 + forwarded 0.2.0 + fresh 0.5.2 + function-bind 1.1.2 + get-intrinsic 1.3.0 + get-proto 1.0.1 + gopd 1.2.0 + has-symbols 1.1.0 + hasown 2.0.2 + http-errors 2.0.1 + iconv-lite 0.4.24 + inherits 2.0.4 + ipaddr.js 1.9.1 + math-intrinsics 1.1.0 + media-typer 0.3.0 + merge-descriptors 1.0.3 + methods 1.1.2 + mime 1.6.0 + mime-db 1.52.0 + mime-types 2.1.35 + ms 2.0.0 + negotiator 0.6.3 + object-inspect 1.13.4 + on-finished 2.4.1 + parseurl 1.3.3 + path-to-regexp 0.1.12 + proxy-addr 2.0.7 + qs 6.14.1 + range-parser 1.2.1 + raw-body 2.5.3 + safe-buffer 5.2.1 + safer-buffer 2.1.2 + send 0.19.2 + serve-static 1.16.3 + setprototypeof 1.2.0 + side-channel 1.1.0 + side-channel-list 1.0.0 + side-channel-map 1.0.1 + side-channel-weakmap 1.0.2 + statuses 2.0.2 + toidentifier 1.0.1 + type-is 1.6.18 + unpipe 1.0.0 + utils-merge 1.0.1 + vary 1.1.2 ! Duplicates in second SBOM (1): ! ms: [2.0.0 2.1.3] เปลี่ยนเส้นหนึ่งใน package.json เพิ่ม แพคเกจโครงการไปจาก ส่วนประกอบสําหรับ **71 68 3 ใน PR t diff แสดง โซ แพคเกจ transitive ไม่ปรากฏที่ไหนในบทวิจารณ์รหัส พวกเขามองไม่เห็นเว้นแต่คุณสร้าง SBOMs และเปรียบเทียบพวกเขา "added express to dependencies" 67 นี่เป็นเรื่องธรรมดา ส่วนใหญ่ frameworks จะดึงขึ้นไปหลายสิบ dependencies transitive React, Angular, Django, Rails พวกเขาทั้งหมดมีต้นไม้ dependency ลึก แต่ละของแพคเกจเหล่านี้ทํางานในการผลิตด้วยสิทธิพิเศษเดียวกันกับรหัสของคุณเอง ทําความเข้าใจผลผลิต รายชื่อทุกแพคเกจใหม่ในต้นไม้การพึ่งพาของคุณ แต่ละแพคเกจในขณะนี้ทํางานในการผลิต บางคุณได้ยินเกี่ยวกับ (body-parser, cookie) อื่น ๆ คุณ havent (dunder-proto, gopd, es-object-atoms) พวกเขาทั้งหมดมีการเข้าถึงหน่วยความจําแอปพลิเคชันของคุณเครือข่ายและระบบไฟล์ Added components แพคเกจ flag ที่ปรากฏหลายครั้งด้วยรุ่นที่แตกต่างกันในเอาท์พุทนี้ แสดงให้เห็นทั้ง 2.0.0 และ 2.1.3 ส่วนที่แตกต่างกันของ Express ต้องใช้เวอร์ชันที่แตกต่างกันและ npm ติดตั้งทั้งสอง นี้ทํางานในเวลาทํางาน แต่สร้างความซับซ้อน หาก ได้รับ CVE คุณต้องติดตามผ่านต้นเสพติดของคุณเพื่อค้นหาทุกเส้นทางที่ดึงมันเข้าไปแล้วอัปเดตแพคเกจตามเส้นทางเหล่านั้น ด้วยรุ่นหนึ่งมันเป็นเรื่องง่าย ด้วยรุ่นหลายรุ่นที่ติดอยู่ในความลึกที่แตกต่างกันก็กลายเป็นที่น่าเบื่อ Duplicates ms ms จับส่วนประกอบที่มีการเปลี่ยนแปลงแฮช แต่เวอร์ชันยังคงเหมือนกัน สิ่งนี้อาจเกิดขึ้นอย่างถูกต้อง ผู้ดูแลแพคเกจสร้างและเผยแพร่ใหม่โดยไม่ต้องแทรกเวอร์ชัน นอกจากนี้ยังสามารถแสดงให้เห็นถึงการทําลาย บางคนทําลายบัญชีจดทะเบียนกดรหัสที่แก้ไขภายใต้หมายเลขเวอร์ชันที่มีอยู่ เวอร์ชันดูเหมือนไม่เปลี่ยนแปลง แต่รหัสแตกต่างกัน ความสมบูรณ์สั่นสะเทือนเรื่องนี้เพื่อการสํารวจ Integrity drift การบังคับใช้นโยบาย คุณสามารถกําหนดกฎและสร้างข้อผิดพลาดที่ละเมิดพวกเขา นโยบายช่วยให้คุณเข้ารหัสมาตรฐานขององค์กรและบังคับใช้โดยอัตโนมัติ นโยบาย.Jason { "max_added": 5, "max_removed": 3, "max_changed": 10, "deny_licenses": ["GPL-3.0", "AGPL-3.0"], "require_licenses": false, "deny_duplicates": true } sbomlyze v1-sbom.json v2-sbom.json --policy policy.json Output when violated ❌ Policy Errors (2): [max_added] too many components added: 68 > 5 [deny_duplicates] found 1 duplicate components in result รหัสออก 1 ไม่ประสบความสําเร็จ CI Field Function max_added Cap on new packages max_removed Cap on removed packages max_changed Cap on version changes deny_licenses Block specific licenses require_licenses Require license info deny_duplicates Fail on duplicate versions max_added Cap ในแพคเกจใหม่ max_removed Cap บนแพคเกจที่ถูกลบออก max_changed Cap สําหรับการเปลี่ยนแปลงรุ่น deny_licenses บล็อกใบอนุญาตเฉพาะ require_licenses ต้องการใบอนุญาต ข้อมูล deny_duplicates ความล้มเหลวในรุ่นที่ซ้ํากัน ขีด จํากัด ขึ้นอยู่กับรหัสฐานของคุณโครงการกรีนฟิลด์อาจตั้ง , ฐานโค้ดที่มีการเชื่อมต่อการล็อคดาวน์สามารถตั้งค่าได้ เริ่มลดลงสังเกตว่า PRs ปกติดูเหมือนอย่างไรจากนั้นยืดลง max_added: 10 max_added: 3 การปิดกั้นใบอนุญาตเป็นเรื่องเกี่ยวกับการปฏิบัติตาม องค์กรบางแห่งไม่สามารถส่งรหัส GPL ในผลิตภัณฑ์ที่เป็นเอกสารบางคนไม่สามารถใช้ AGPL ในแอพพลิเคชัน SaaS นโยบายนี้จับสิ่งเหล่านี้ก่อนที่จะรวมตัวแทนในระหว่างการตรวจสอบทางกฎหมายเดือนต่อมา การปิดกั้นการซ้ําเป็นเรื่องที่เข้มงวดมากขึ้นต้นไม้เสพติดที่ถูกต้องหลายคนมีซ้ํา คุณอาจเริ่มต้นด้วยสิ่งนี้และเปิดใช้งานในภายหลังเมื่อคุณทําความสะอาดต้นไม้เสพติดของคุณ การรวมตัว นี่คือกระบวนการทํางาน GitHub การกระทําที่สร้าง SBOMs สําหรับทั้งสาขาฐานและสาขา PR จากนั้นกระจายพวกเขา name: SBOM Diff on: pull_request: branches: [main] jobs: sbom-diff: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 with: fetch-depth: 0 - name: Setup Go uses: actions/setup-go@v5 with: go-version: '1.21' - name: Install tools run: | go install github.com/rezmoss/sbomlyze/cmd/sbomlyze@latest curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin - name: Generate baseline SBOM run: | git checkout origin/main npm ci syft . -o cyclonedx-json > baseline.json - name: Generate PR SBOM run: | git checkout ${{ github.head_ref }} npm ci syft . -o cyclonedx-json > pr.json - name: Diff run: sbomlyze baseline.json pr.json --policy policy.json กระบวนการทํางานตรวจสอบทั้งสองสาขาสร้าง SBOM สําหรับแต่ละสาขาและเปรียบเทียบพวกเขาถ้านโยบายล้มเหลว PR ล้มเหลว ผู้พัฒนาจะเห็นแพคเกจที่เปลี่ยนแปลงและทําไมการสร้างล้มเหลว คุณยังสามารถเรียกใช้นี้ได้โดยไม่ต้องมีไฟล์นโยบายเพื่อให้สามารถมองเห็นได้โดยไม่ต้องบังคับใช้ผลลัพธ์ diff จะปรากฏในบันทึก CI ผู้ตรวจสอบสามารถตรวจสอบได้พร้อมกับรหัส diff การส่งออก JSON สําหรับการเขียนและ custom tooling เอาท์พุท JSON: sbomlyze sbomlyze v1-sbom.json v2-sbom.json --json > diff.json jq '.diff.added | length' diff.json jq '.diff.added[].name' diff.json jq '.diff.duplicates' diff.json คุณสามารถสร้างการตรวจสอบที่กําหนดเองบนด้านบนของนี้ป้าย pkgs จากผู้บํารุงรักษาที่เฉพาะเจาะจง การเตือนเกี่ยวกับแพคเกจที่มีจํานวนการดาวน์โหลดต่ํา การอ้างอิงข้ามกับรายการอนุญาตภายใน JSON ให้ข้อมูลคุณคุณเขียนโลจิก ภาพคอนเทนเนอร์ ภาพคอนเทนเนอร์มีมากกว่าโค้ดแอปพลิเคชันของคุณภาพฐานนําแพคเกจ OS libc, openssl, coreutils แอปพลิเคชันของคุณเพิ่มระยะเวลาการทํางานและเสพติดของมันคอนเทนเนอร์ทั่วไปมีส่วนประกอบหลายร้อยส่วนจากระบบนิเวศหลายระบบ Syft สแกนภาพคอนเทนเนอร์โดยตรง syft nginx:1.24-alpine -o cyclonedx-json > nginx-1.24.json syft nginx:1.27-alpine -o cyclonedx-json > nginx-1.27.json sbomlyze nginx-1.24.json nginx-1.27.json nginx:1.24-alpine มี 1,393 ส่วนประกอบ. nginx:1.27-alpine มี 1,047, the ver bunp changed hundreds of packages, Alpine base image updates, library upgrades, removed pkgs การเปลี่ยนแปลงเหล่านี้จะมองไม่เห็นถ้าคุณติดตามการพึ่งพาแอปพลิเคชันเท่านั้นคุณ Dockerfile กล่าวว่า ,the diff แสดงการเปลี่ยนแปลงหนึ่งบรรทัดการเปลี่ยนแปลงที่แท้จริงสําหรับซอฟต์แวร์ที่คุณใช้เป็นร้อย pkgs FROM nginx:1.27-alpine sbomlyze ทํางานในระดับ SBOM ดังนั้นจึงจัดการกับแพคเกจระบบปฏิบัติการที่ตรวจจับ Syft แอพพลิเคชันอ้างอิงไบนารีไฟล์การกําหนดค่าทั้งหมดในหนึ่ง diff สถิติ SBOM เดียว เมื่อคุณต้องการภาพรวมของ SBOM หนึ่งโดยไม่ต้องเปรียบเทียบ sbomlyze v2-sbom.json output 📦 SBOM Statistics ================== Total Components: 71 By Package Type: npm 70 unknown 1 Licenses: With license: 69 Without license: 2 Top Licenses: MIT 66 ISC 2 BSD-3-Clause 1 Integrity: With hashes: 1 Without hashes: 70 ⚠️ Duplicates Found: 1 ms: [2.0.0 2.1.3] สูง การคํานวณแสดงให้เห็นว่าแพคเกจอาจไม่มีการบํารุงรักษาหรือมีเอกสารที่ไม่ดี pkgs ที่ถูกต้องมักจะมีไฟล์ใบอนุญาตใบอนุญาตที่หายไปสามารถแสดงให้เห็นถึงความเสี่ยงในการปฏิบัติตามคุณจะจัดส่งรหัสที่มีสถานะทางกฎหมายไม่ชัดเจน "without license" การครอบคลุมแฮชต่ํา จํากัด ความสามารถในการตรวจสอบความสมบูรณ์ของคุณ ไม่มีแฮชคุณไม่สามารถตรวจจับได้ว่าแพคเกจได้รับการแก้ไขหลังจากเผยแพร่ ประเภทแพคเกจที่ไม่คาดคิดมีมูลค่าการวิจัย หากแอปพลิเคชัน Node.js ของคุณแสดงแพคเกจ Python บางสิ่งบางอย่างดึงพวกเขาไป บางทีเครื่องมือสร้างบางสิ่งบางอย่างอาจเป็นกรอบการทดสอบบางสิ่งบางอย่างที่ไม่ควรมีอยู่ คําแนะนํา คุณต้องการเส้นพื้นฐานที่จะ diff กับ รวมการสร้าง SBOM ในท่อปล่อยของคุณ บันทึกพวกเขาพร้อมกับศิลปะการสร้างของคุณ Store SBOMs for each release, syft . -o cyclonedx-json > sbom-v${VERSION}.json เมื่อเกิดเหตุการณ์คุณสามารถเปรียบเทียบรุ่นที่ได้รับผลกระทบกับรุ่นก่อนหน้านี้ โดยไม่ต้องรีไซเคิลอาคารเก่า "when did this package enter our dependency tree?" แม้จะไม่มีการยับยั้งการมองเห็นช่วยให้ผู้ตรวจสอบสามารถเห็นผลกระทบทั้งหมดของการเปลี่ยนแปลงความเสี่ยง กลายเป็น กรณีนี้เปลี่ยนการตรวจสอบ Diff on every PR. "Added axios" "added axios and 12 transitive dependencies" เมื่อคุณอนุมัติ Express ( แพคเกจ), เขียนเหตุผลที่เชื่อมโยงกับรีวิวความปลอดภัยบันทึกว่าใครได้อนุมัติมันหกเดือนต่อมาเมื่อใครบางคนถามเกี่ยวกับความเสพติดคําตอบมีอยู่ Document big additions. 68 diffing แสดงถึงสิ่งที่เปลี่ยนแปลง การสแกนความเสี่ยงแสดงถึงความเสี่ยงใด คําถามที่แตกต่างกันทั้งสองมีประโยชน์ การสแกนจับความเสี่ยงใหม่ก่อนที่พวกเขาสะสม CVE การสแกนจับความเสี่ยงที่มีอยู่เมื่อ CVE ถูกเปิดเผย Combine with vulnerability scanning. SBOM ดูผ่านต้นไม้ความเสี่ยงของคุณ การวิจัยแพคเกจที่คุณไม่รู้จัก ตรวจสอบสถานะการบํารุงรักษาวันที่รับสัญญาครั้งล่าสุดปัญหาที่เปิดตัวปัจจัยรถบัสระบุผู้สมัครสําหรับการเปลี่ยนหรือถอดออก Review quarterly. คําอธิบาย # Generate syft . -o cyclonedx-json > sbom.json # Compare sbomlyze baseline.json current.json # Enforce sbomlyze baseline.json current.json --policy policy.json A Note on Tooling sbomlyze เป็นสิ่งที่ฉันสร้างขึ้นสําหรับกระบวนการทํางานประจําวันของฉันเอง มีเครื่องมือ SBOM และเครื่องมือวิเคราะห์ความเสี่ยงอื่น ๆ อีกมากมาย บางคนอาจเหมาะกับความต้องการของคุณได้ดีขึ้นบางคนแย่กว่า ฉันไม่ได้เรียกร้องว่าไม่มีอะไรอื่นทํางานหรือว่านี่เป็นโซลูชั่นเดียว ฉันมองรอบ ๆ ฉันไม่พบสิ่งที่สอดคล้องกับวิธีการที่ฉันต้องการทํางานและสร้างตัวเอง หากมีประโยชน์สําหรับคุณดี หากคุณพบสิ่งที่อื่น ๆ ที่ทํางานได้ดีขึ้นสําหรับสถานการณ์ของคุณแล้วใช้มัน หากคุณลึกซึ้งเข้าไปในพื้นที่นี้กว่าฉันหรือคุณคิดว่ามีวิธีการที่ดีขึ้นฉันอยากจะยินมันเปิดปัญหาส่ง PR หรือบอกฉันว่าฉันผิด ฉันไม่ได้เชื่อมโยงกับความถูกต้องฉันเชื่อมโยงกับการแก้ปัญหา หากใครบางคนชี้ให้ฉันเห็นถึงเครื่องมือที่ทําสิ่งนี้ได้ดีขึ้นฉันจะใช้และแนะนํา การพักผ่อน: https://github.com/rezmoss/sbomlyze