Ders 5.31: SBOM'lar ve zafiyet eşleştirme
Gönderdiğini bilmediğin şeyi yamayamazsın. Yazılım malzeme listesi (SBOM), hiçbir paket yöneticisinin bilmediği Java arşivlerine gömülü kitaplıklar dahil bir imajın içindeki her paketi listeler. Bu listeyi zafiyet verileriyle eşleştirmek neyin açıkta olduğunu söyler; bir derleme kapısı da onun yeniden gönderilmesini engeller. Laboratuvarda iç bir raporlama hizmeti için syft ile bir SBOM üretiyor, onu grype ile eşleştiriyor, içinde eski bir Log4j buluyor, sonucu bir CI kapısına çeviriyor ve düzeltilmiş derlemenin geçtiğini doğruluyorsun.
17 dk
Bu derste öğreneceklerin
- SBOM'un ne olduğunu ve imajların neden ona ihtiyaç duyduğunu açıklamak
- syft ile SBOM üretmek (tablo ve CycloneDX)
- Bir SBOM'u grype ile zafiyetlerle eşleştirmek
- --fail-on'u bir derleme kapısı olarak kullanmak
- Düzeltilmiş bir derlemeyi doğrulamak
Temel terimler
- SBOM
- Yazılım malzeme listesi: bir yazılımdaki her bileşenin makinece okunabilir listesi.
- CycloneDX, SPDX
- İki standart SBOM biçimi.
- syft
- İmajlardan, dizinlerden ve arşivlerden SBOM üretir.
- grype
- Bir imajdaki ya da SBOM'daki paketleri zafiyet verileriyle eşleştirir.
- GHSA
- GitHub Güvenlik Duyurusu kimliği; dil paketleri için sık gösterilir, bir CVE'ye bağlıdır.
- Derleme kapısı
- Bir denetim başarısız olduğunda derlemeyi başarısız yapan CI adımı.
← İzin listelerine ve IOC'lere karşı özet taramaları · Tüm dersler · Kapanış: bir oltalama e-postasından sınırlanmış bir bulaşmaya →