2021年12月には数日でパッチが完了し、Log4jが生産中に存在する場所を見つけるのに時間がかかりました。 ロゴ4シェル 影響を受けたJavaプロジェクトのほとんどは、間接的な依存性としてLog4jが他の何かとバンドルされ、直接選択されていなかった。それらの80%は、依存性の木の深さの5レベル以上を持っていた。 what's in our software? patch が利用可能でした。 The problem was inventory 過渡依存 あなた追加 Node.js プロジェクト エクスプレス需要 ボディ・パーサー・ニーズ Raw-Body ニーズ 一つのパッケージが木になる。 express body-parser raw-body unpipe 
 
 
 Direct dependencies: What you put in package.json(パッケージ.ジョンソン) 過渡依存症:それらのパッケージが引き込むすべて アン 現代のアプリケーションにおける依存の90%以上が間接であることが発見された。その比率は生態系によって異なります、Mavenはnpmよりも依存を増強し、PyPIよりも増強しますが、パターンは持っています。Youeの直接依存は数十に数えられます。 イヴァンティレポート その木の各パッケージには独自のメンテナンス、リリース慣行、セキュリティ姿勢があります。いくつかは主要企業のチームによって維持されています。他は3年でコミットメントを見ていないサイドプロジェクトです。 THE   2018年には、メンテナントが人気のnpmパッケージを誰かに渡し、助けを求めた。 依存症として、そのパッケージにはコペイのビットコインウォレットをターゲットとした曖昧なコードが含まれており、誰も気づかないうちに数ヶ月間、週に200万回のダウンロードが続いた。 event-stream 攻撃 flatmap-stream T 悪意のあるコード wasnt in それは一層深く、誰も見ていない過渡的な依存の中に隠されていた。 event-stream なぜこれを建てたのか。 パッケージマネージャーは、依存性をインストールし、バージョン紛争を解決し、パッケージをダウンロードします。 2回は同じ結果を生み出しますが、火曜日の依存樹と月曜日の依存樹を簡単に比較することはできません。 npm install 脆弱性スキャナは、既知のCVEを発見し、パッケージのバージョンと公開された脆弱性のデータベースに匹敵します。彼らはまだ脆弱であるパッケージ、次のLog4jになる可能性のあるパッケージについてあなたに伝えることはできません。 彼らは再生可能なビルドを確保し、予期せぬアップデートを防ぐ。彼らは、誰かが新しい依存性を追加したとき、47の新しいパッケージがあなたのコードベースに入ったことを理解するのに役立ちません。 
 
 こんばんはPRで こんばんはPRで 何が欠けているかは比較で、今日あなたの依存症のスナップショットを作成します。明日別の生成します。それらを分散してください。正確に何が変わったかを見てください:新しいパッケージ、削除されたパッケージ、バージョンアップデート、ライセンス変更 これがSBOMが可能にするものです。 あなたのソフトウェアのすべてのコンポーネント、直接的および過渡的、バージョン、ライセンス、ハッシュをリストします. Compare two SBOMs and you get a clear picture of what is different. Software Bill of Materials 私はSBOMを分散させ、疑わしい変更を示し、CIのポリシーを執行するためのツールを欲しかった。 スムージー セットアップ # Install to ./bin
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh

# Install to /usr/local/bin (requires sudo)
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sudo sh -s -- -b /usr/local/bin

# Install specific version
curl -sSfL https://raw.githubusercontent.com/rezmoss/sbomlyze/main/install.sh | sh -s -- -v 0.2.0
 $ sbomlyze --version
sbomlyze v0.2.3
 SBOM ジェネレーターが必要になります。 ほとんどのパッケージエコシステムとコンテナイメージをサポートする(彼らは最高です) 目的 curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin
 ターゲット出力 or SPDX formats. sbomlyze reads both. またはSPDX形式で、sbomlyze は両方読みます。 サイクロンX 例:Expressを追加する ここでは、単一の依存性を追加すると何が起こるかを示す最小の例です。 V1 - lodash only: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21"
  }
}
--------------
 npm install
syft . -o cyclonedx-json > ../v1-sbom.json
 V2 - add express: package.json
---------------
{
  "name": "test-app",
  "version": "1.0.0",
  "dependencies": {
    "lodash": "^4.17.21",
    "express": "^4.18.2"
  }
}
---------------
 npm install
syft . -o cyclonedx-json > ../v2-sbom.json
 Diff: sbomlyze v1-sbom.json v2-sbom.json
 Output: 📊 Drift Summary:
  ⚠️  Integrity drift: 1 components (hash changed without version change!)

+ Added (68):
  + accepts 1.3.8
  + array-flatten 1.1.1
  + body-parser 1.20.4
  + bytes 3.1.2
  + call-bind-apply-helpers 1.0.2
  + call-bound 1.0.4
  + content-disposition 0.5.4
  + content-type 1.0.5
  + cookie 0.7.2
  + cookie-signature 1.0.7
  + debug 2.6.9
  + depd 2.0.0
  + destroy 1.2.0
  + dunder-proto 1.0.1
  + ee-first 1.1.1
  + encodeurl 2.0.0
  + es-define-property 1.0.1
  + es-errors 1.3.0
  + es-object-atoms 1.1.1
  + escape-html 1.0.3
  + etag 1.8.1
  + express 4.22.1
  + finalhandler 1.3.2
  + forwarded 0.2.0
  + fresh 0.5.2
  + function-bind 1.1.2
  + get-intrinsic 1.3.0
  + get-proto 1.0.1
  + gopd 1.2.0
  + has-symbols 1.1.0
  + hasown 2.0.2
  + http-errors 2.0.1
  + iconv-lite 0.4.24
  + inherits 2.0.4
  + ipaddr.js 1.9.1
  + math-intrinsics 1.1.0
  + media-typer 0.3.0
  + merge-descriptors 1.0.3
  + methods 1.1.2
  + mime 1.6.0
  + mime-db 1.52.0
  + mime-types 2.1.35
  + ms 2.0.0
  + negotiator 0.6.3
  + object-inspect 1.13.4
  + on-finished 2.4.1
  + parseurl 1.3.3
  + path-to-regexp 0.1.12
  + proxy-addr 2.0.7
  + qs 6.14.1
  + range-parser 1.2.1
  + raw-body 2.5.3
  + safe-buffer 5.2.1
  + safer-buffer 2.1.2
  + send 0.19.2
  + serve-static 1.16.3
  + setprototypeof 1.2.0
  + side-channel 1.1.0
  + side-channel-list 1.0.0
  + side-channel-map 1.0.1
  + side-channel-weakmap 1.0.2
  + statuses 2.0.2
  + toidentifier 1.0.1
  + type-is 1.6.18
  + unpipe 1.0.0
  + utils-merge 1.0.1
  + vary 1.1.2

! Duplicates in second SBOM (1):
  ! ms: [2.0.0 2.1.3]
 package.json で 1 行変更 パッケージは、プロジェクトから コンポーネント:71 68 3 PR T DIF ショー THE transitive packages don't appear anywhere in the code review, they are invisible unless you generate SBOMs and compare them. コードレビューのどこにも表示されません。 "added express to dependencies" 67 これは典型的なことです。ほとんどのフレームワークは、数十の過渡依存を引き起こします。 React、Angular、Django、Rails、それらはすべて深い依存の木を持っています。これらのパッケージのそれぞれは、あなたの独自のコードと同じ特権で生産中です。 出力の理解 あなたの依存の木にすべての新しいパッケージをリストし、それぞれが現在生産中です。 あなたが聞いたことがあるもの(ボディーパッサー、クッキー)。 他の人々(dunder-proto、gopd、es-object-atoms)は、あなたのアプリケーションのメモリ、ネットワーク、およびファイルシステムに平等にアクセスできます。 Added components この出力で、異なるバージョンで複数回表示されるフラッグパッケージは、 2.0.0 と 2.1.3 の両方に表示されます。Express の異なる部分には異なるバージョンが必要であり、npm は両方をインストールします。 CVEを得るには、依存の木を追跡して、それを引っ張るすべてのパスを見つける必要があります、その後、それらのパッケージを更新します。 Duplicates ms ms ハッシュが変更されたところのコンポーネントをキャッチしますが、バージョンは同じです。これはパッケージメンテナーがバージョンを打ち破ることなく、バージョンを再構築して再リリースすることに正当な場合がありますが、バージョンを再発行することもできます。 誰かがレジストリアウトを損なうと、既存のバージョン番号の下で変更されたコードを押します。 バージョンは変わっていないように見えますが、コードは異なります。 統合性はこれを調査のためにフラグします。 Integrity drift 政策執行 ルールを定義し、ルールに違反するエラービルドを作成できます ポリシーにより、組織の基準をコード化し、自動的に実施できます。 トップ > ジョン {
  "max_added": 5,
  "max_removed": 3,
  "max_changed": 10,
  "deny_licenses": ["GPL-3.0", "AGPL-3.0"],
  "require_licenses": false,
  "deny_duplicates": true
}
 sbomlyze v1-sbom.json v2-sbom.json --policy policy.json
 Output when violated ❌ Policy Errors (2):
  [max_added] too many components added: 68 > 5
  [deny_duplicates] found 1 duplicate components in result
 出力コード1 失敗 
 
 
 
 
 
 
 
 
 
 
 
 Field 
 Function 
 
 
 
 max_added 
 Cap on new packages 
 
 
 
 max_removed 
 Cap on removed packages 
 
 
 
 max_changed 
 Cap on version changes 
 
 
 
 deny_licenses 
 Block specific licenses 
 
 
 
 require_licenses 
 Require license info 
 
 
 
 deny_duplicates 
 Fail on duplicate versions max_added CAP 新パッケージ max_removed Cap on removed packages (キャップ) max_changed CAP バージョン変更 deny_licenses 特定ブロックライセンス require_licenses ライセンス情報 deny_duplicates ダブルバージョンの失敗 値はあなたのコードベースに依存し、グリーンフィールドプロジェクトが設定する可能性があります。 , LockedDown dependencies を含む確立されたコードベースは、 , start loose, observe what normal PRs look like, then tighten max_added: 10 max_added: 3 ライセンスブロックはコンプライアンスの問題です。一部の組織は独自の製品にGPLコードを配信し、一部はSaaSアプリケーションでAGPLを使用しません。 Duplicate blocking is stricter,many legitimate addiction trees have duplicates. You might start with this disabled and enable it later as you clean up your addiction tree. 複製ブロックはより厳しく、多くの正当な依存の木には複製があります。 統合について 以下は、ベース支部とPR支部の両方のためにSBOMを生成し、それらを拡散するGitHub Actionsワークフローです。 name: SBOM Diff

on:
  pull_request:
    branches: [main]

jobs:
  sbom-diff:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - name: Setup Go
        uses: actions/setup-go@v5
        with:
          go-version: '1.21'

      - name: Install tools
        run: |
          go install github.com/rezmoss/sbomlyze/cmd/sbomlyze@latest
          curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin

      - name: Generate baseline SBOM
        run: |
          git checkout origin/main
          npm ci
          syft . -o cyclonedx-json > baseline.json

      - name: Generate PR SBOM
        run: |
          git checkout ${{ github.head_ref }}
          npm ci
          syft . -o cyclonedx-json > pr.json

      - name: Diff
        run: sbomlyze baseline.json pr.json --policy policy.json
 ワークフローは両方の支店をチェックし、それぞれのSBOMを生成し、それらを比較し、ポリシーが失敗した場合、PRが失敗します。 あなたはまた、ポリシーファイルなしでこれを実行して、実行なしで可視性を取得することができます、diff出力はCIログに表示されます。 JSON 出力 編集と編集の際には、 JSONの出力: sbomlyze sbomlyze v1-sbom.json v2-sbom.json --json > diff.json

jq '.diff.added | length' diff.json
jq '.diff.added[].name' diff.json
jq '.diff.duplicates' diff.json
 この上にカスタマイズされたチェックを構築することができます、特定のメンテナンスプロバイダーからのフラッグ pkgs. Alert on packages with low download counts. Cross reference against an internal allowlist. The JSON gives you the data; you write the logic. コンテナ画像 コンテナイメージはあなたのアプリケーションコードよりも多く含まれています、ベースイメージはOSパッケージ libc、openssl、coreutilsをもたらします。あなたのアプリケーションは実行時間と依存性を追加します、典型的なコンテナには複数のエコシステムから何百ものコンポーネントがあります Syftはコンテナ画像を直接スキャンします。 syft nginx:1.24-alpine -o cyclonedx-json > nginx-1.24.json
syft nginx:1.27-alpine -o cyclonedx-json > nginx-1.27.json
sbomlyze nginx-1.24.json nginx-1.27.json
 nginx:1.24-alpine has 1,393 components. nginx:1.27-alpine has 1,047,the ver bunp changed hundreds of packages, Alpine base image updates, library upgrades, removed pkgs. nginx:1.24-alpine has 1,393 components. nginx:1.27-alpine has 1,047,the ver bunp changed hundreds of packages, Alpine base image updates, library upgrades, removed pkgs これらの変更は、アプリケーション依存性を追跡する場合にのみ目に見えません。 ,the diff shows one line changed, the actual change to your deployed software is hundreds of pkgs. 1行が変更され、実行されたソフトウェアの実際の変更は数百pkgsです。 FROM nginx:1.27-alpine sbomlyze は SBOM レベルで動作するので、Syft が OS パッケージ、アプリケーション依存、バイナリ、構成ファイルを検出するすべてを 1 つの diff で処理します。 シングル SBOM Stats 比較せずに1つのSBOMの概要が欲しいとき sbomlyze v2-sbom.json
 output 📦 SBOM Statistics
==================

Total Components: 71

By Package Type:
  npm          70
  unknown      1

Licenses:
  With license:    69
  Without license: 2

  Top Licenses:
    MIT                            66
    ISC                            2
    BSD-3-Clause                   1

Integrity:
  With hashes:    1
  Without hashes: 70

⚠️  Duplicates Found: 1
  ms: [2.0.0 2.1.3]
 高い 数値は、保守されていないまたはドキュメントが悪くないパッケージを示唆し、正当なpkgsは通常ライセンスファイルを持っており、欠けているライセンスはまた、コンプライアンスリスクを示す可能性があります、あなたは不明確な法的地位を持つコードを発送しています。 "without license" 低ハッシュカバーは、完全性を検証する能力を制限します。ハッシュなしでは、パッケージが公開された後に変更されたかどうかを検出できません。 予期せぬパッケージの種類は調査する価値があります。Node.jsアプリケーションがPythonパッケージを表示する場合、何かがそれらを引っ張ったかもしれません。 勧告 you need baselines to diff against. Include SBOM generation in your release pipeline. Archive them alongside your build artifacts. あなたのリリースパイプラインにSBOM世代を含む。 Store SBOMs for each release, syft . -o cyclonedx-json > sbom-v${VERSION}.json
 インシデントが発生した場合、影響を受けたバージョンを以前のバージョンと比較することもできます。 古い建物を建て直すことなく "when did this package enter our dependency tree?" ブロックなしでさえ、可視性が役立ち、レビュー者は依存変化の完全な影響を見ることができます。 成り この文脈がレビューを変える。 Diff on every PR. "Added axios" "added axios and 12 transitive dependencies" エクスプレス( パッケージ)、なぜセキュリティレビューへのリンクを書き、誰がそれを承認したか、6ヶ月後、誰かが依存症について尋ねると、答えは存在します。 Document big additions. 68   diffing は、何が変化したかを示します。脆弱性スキャンは、何が脆弱であるかを示します。異なる質問は、どちらも有用です。 diffing は、CVE を蓄積する前に新しい依存性を捕獲します。 Combine with vulnerability scanning. SBOM あなたの依存性の木を見てください. あなたが認識しない研究パッケージ. メンテナンスの状態、最後のコミットの日付、オープンな問題、バス因子をチェック. 交換または削除のための候補者を識別します。 Review quarterly. 概要 # Generate
syft . -o cyclonedx-json > sbom.json

# Compare
sbomlyze baseline.json current.json

# Enforce
sbomlyze baseline.json current.json --policy policy.json
 A Note on Tooling sbomlyze は私自身の日々のワークフローのために作ったものです. 他の多くのSBOMと依存分析ツールが存在します. いくつかはあなたのニーズにより良く、いくつかの悪化する可能性があります. 私は他の何も機能しない、またはこれが唯一のソリューションであると主張していない。 あなたが私よりもこの空間に深く入っている場合、またはあなたがより良いアプローチがあると思っている場合、私は本当にそれを聞きたい、問題を開く、PRを送信する、または私が間違っていることを教えてください。 リポ: https://github.com/rezmoss/sbomlyze

This story contains new, firsthand information uncovered by the writer.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

このオーディオは、ストーリーの元の言語で制作されています。

SBOMディフニング:それらが傷つく前に依存性の変化を明らかにする

About Author

コメント

ラベル

この記事は

Related Stories

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

フロキのヴァルハラがインドのスリランカツアーのアソシエイトスポンサーに加わる

暗号通貨の成長: 効果的なユーザーペルソナの作成

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

フロキのヴァルハラがインドのスリランカツアーのアソシエイトスポンサーに加わる

暗号通貨の成長: 効果的なユーザーペルソナの作成

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps