Mastodon

0 posts0 participants0 posts today

HabrКак мы реализовали SCA при помощи SBOMЧем больше микросервисов в компании, тем веселее жизнь у тех, кто отвечает за безопасность. Количество зависимостей растёт, и в какой-то момент становится нереально уследить, откуда в коде может вылезти критичная уязвимость — будь то старая библиотека или транзитивная зависимость, о которой никто даже не помнит. Решение этого — SCA (Software Composition Analysis) автоматический анализ зависимостей, который помогает вовремя вылавливать уязвимые библиотеки и понимать, что с ними делать. Меня зовут Эрик Шахов, я AppSec-инженер в Циан. В этой статье расскажу, как мы перестроили систему SCA, изменили её архитектуру и какие инструменты теперь используем для контроля зависимостей. Поделюсь реальным опытом внедрения SBOM (Software Bill of Materials) и тем, как он помогает нам держать код в порядке.<a href="https://habr.com/ru/companies/cian/articles/900040/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://habr.com/ru/companies/cian/articles/900040/</a><a href="https://zhub.link/tags/trivy" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#trivy</a> <a href="https://zhub.link/tags/cyclonedx" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cyclonedx</a> <a href="https://zhub.link/tags/%D1%83%D0%BF%D1%80%D0%B0%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D0%B5_%D0%B7%D0%B0%D0%B2%D0%B8%D1%81%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8F%D0%BC%D0%B8" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#управление_зависимостями</a> <a href="https://zhub.link/tags/sbom" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#sbom</a> <a href="https://zhub.link/tags/appsec" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#appsec</a> <a href="https://zhub.link/tags/sca" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#sca</a> <a href="https://zhub.link/tags/%D1%81%D0%BA%D0%B0%D0%BD%D0%B5%D1%80%D1%8B_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#сканеры_безопасности</a> <a href="https://zhub.link/tags/cdxgen" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cdxgen</a> <a href="https://zhub.link/tags/%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%B0%D1%8F_%D1%80%D0%B0%D0%B7%D1%80%D0%B0%D0%B1%D0%BE%D1%82%D0%BA%D0%B0" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#безопасная_разработка</a> <a href="https://zhub.link/tags/%D1%81%D0%BA%D0%B0%D0%BD%D0%B5%D1%80%D1%8B_%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D0%B5%D0%B9" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#сканеры_уязвимостей</a>

HabrКакие ваши доказательства? Объясняем разработчику отчёты SCA на пальцах. Часть 2Привет, Habr! С вами вновь Анастасия Березовская, инженер по безопасности процессов разработки приложений в Swordfish Security. Сегодня мы продолжим наш нелегкий путь в получении Evidence для SBOM. В первой части статьи мы разобрались, что же такое Evidence с точки зрения SBOM. Описали, что представляет собой граф свойств кода, на базе которого происходят все операции нарезки, и рассмотрели срезы использования. Сегодня мы поговорим про срезы достижимости и срезы потоков данных. И, самое главное, разберем, как всё это превращается в расширенный SBOM с вхождениями. Приятного чтения!<a href="https://habr.com/ru/companies/swordfish_security/articles/845526/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://habr.com/ru/companies/swordfish_security/articles/845526/</a><a href="https://zhub.link/tags/static_analysis" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#static_analysis</a> <a href="https://zhub.link/tags/sca" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#sca</a> <a href="https://zhub.link/tags/reachable" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#reachable</a> <a href="https://zhub.link/tags/dataflow" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#dataflow</a> <a href="https://zhub.link/tags/sbom" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#sbom</a> <a href="https://zhub.link/tags/software_composition_analysis" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#software_composition_analysis</a> <a href="https://zhub.link/tags/cdxgen" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cdxgen</a> <a href="https://zhub.link/tags/evinse" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#evinse</a> <a href="https://zhub.link/tags/%D1%81%D1%82%D0%B0%D1%82%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B0%D0%BD%D0%B0%D0%BB%D0%B8%D0%B7" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#статический_анализ</a>

HabrСекреты успешного SCA: использование режима evinse в cdxgen. Часть IПривет, читатели Habr! С вами Анастасия Березовская, инженер по безопасности процессов разработки приложений в Swordfish Security. Сегодня мы расскажем про еще один инструмент, встречающийся в построении процессов Software Composition Analysis (SCA) — сdxgen . Он, как и популярный сканер Trivy, разбирает файлы манифестов, бинарные и другие файлы для извлечения информации о внешних компонентах, используемых в проекте. Кстати, о Trivy мы писали в одной из наших предыдущих статей, заходите почитать . Главным объектом нашего анализа стал новый и очень интересный режим работы cdxgen под названием evinse, представленный авторами в 2023 году. Evinse по исходному коду предоставляет расширенную информацию об evidence — свидетельства присутствия компонента в исходном коде. На момент написания статьи cdxgen является единственной Open Source-утилитой, которая обладает подобной функциональностью. Мы опишем математику, используемую "под капотом", и объясним, почему решили интегрировать результаты работы режима в наших продуктах. Статья получилась достаточно объемной, поэтому мы решили разделить её на две части. В первой мы рассмотрим, что представляет собой объект Evidence с точки зрения SBOM. Опишем базовые математические понятия, которые необходимы для понимания работы утилиты evinse в части построения расширенного SBOM. Здесь же рассмотрим первый вид нарезки использования. Во второй части статьи мы поговорим про остальные виды нарезок — срезы потоков данных и достижимости. Разберем, наконец-то, как из них получается SBOM. Итак, погнали!<a href="https://habr.com/ru/companies/swordfish_security/articles/840922/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://habr.com/ru/companies/swordfish_security/articles/840922/</a><a href="https://zhub.link/tags/cdxgen" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cdxgen</a> <a href="https://zhub.link/tags/evinse" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#evinse</a> <a href="https://zhub.link/tags/SCA" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#SCA</a> <a href="https://zhub.link/tags/software_composition_analysis" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#software_composition_analysis</a> <a href="https://zhub.link/tags/ast" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#ast</a> <a href="https://zhub.link/tags/slice" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#slice</a> <a href="https://zhub.link/tags/program_analysis" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#program_analysis</a> <a href="https://zhub.link/tags/static_analysis" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#static_analysis</a> <a href="https://zhub.link/tags/sbom" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#sbom</a> <a href="https://zhub.link/tags/cyclonedx" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cyclonedx</a>

HabrИнструкция по SCA: генерация SBOM, инструменты, отличияАнализ сторонних компонентов ПО становится всё более актуальным в свете увеличения числа уязвимостей в открытом исходном коде. Популярные репозитории содержат более 20 тысяч потенциально опасных пакетов. Сегодня мы поговорим о спецификации SBOM (Software Bill of Material), обсудим, в каких сферах она используется, какими форматами представлена и какое применение находит в информационной безопасности, в частности, в рамках SCA-анализа. Эта статья будет интересна как специалистам ИБ, так и разработчикам, желающим сделать свой продукт безопаснее.<a href="https://habr.com/ru/companies/swordfish_security/articles/797801/" rel="nofollow noopener noreferrer" translate="no" target="_blank">https://habr.com/ru/companies/swordfish_security/articles/797801/</a><a href="https://zhub.link/tags/SBOM" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#SBOM</a> <a href="https://zhub.link/tags/cdxgen" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cdxgen</a> <a href="https://zhub.link/tags/trivy" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#trivy</a> <a href="https://zhub.link/tags/syft" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#syft</a>

prabhu<a href="https://mastodon.social/@karabaic" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@karabaic</a> <a href="https://mastodon.social/@suchakra" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@suchakra</a> How about using <a href="https://infosec.exchange/tags/cdxgen" class="mention hashtag" rel="nofollow noopener noreferrer" target="_blank">#cdxgen</a> to submit your list of OS software in <a href="https://infosec.exchange/@CycloneDX" class="u-url mention" rel="nofollow noopener noreferrer" target="_blank">@CycloneDX</a> instead of running an agent?

Recent searches

Search options

Administered by:

Server stats:

#cdxgen