Wir stellen parlay vor: ein Tool zur Anreicherung von SBOMs

Wir brauchen umfassendere SBOMs

Die zunehmende Verbreitung von Standards für Software Bill of Materials (SBOMs) sorgt allmählich für eine bessere Interoperabilität zwischen Sicherheitstools. Die Arbeit der NTIA an der Definition eines Mindestumfangs an Elementen für eine SBOM war dabei ein wichtiger Schritt – insbesondere angesichts der weitverbreiteten Nutzung verschiedener Formate wie CycloneDX und SPDX. Doch während die Arbeit an SPDX 3.0 und CycloneDX 1.5 voranschreitet, bieten die SBOM-Formate zahlreiche Möglichkeiten, die über die Mindestelemente hinausgehen.

Vielleicht möchten Sie Richtlinienentscheidungen auf Grundlage der Lizenzinformationen von Paketen treffen. Vielleicht möchten Sie schnell auf die Websites der verwendeten Pakete zugreifen oder wissen, wer sie erstellt hat. Oder Sie möchten neben diesen Informationen auch die Schwachstellen in den Paketen kennen.

Wir stellen Parlay vor

parlay ist ein neues Open-Source-Tool von Snyk, das SBOMs anreichert. Am einfachsten lässt sich das anhand eines Beispiels zeigen. Nehmen wir eine einfache SBOM einer JavaScript-Anwendung.

1$ cat testing/sbom.cyclonedx.json
2...
3{
4	"bom-ref": "68-subtext@6.0.12",
5	"type": "library",
6	"name": "subtext",
7	"version": "6.0.12",
8	"purl": "pkg:npm/subtext@6.0.12"
9}
10...

Mit parlay reichern wir sie mit Daten von ecosyste.ms an:

$ cat testing/sbom.cyclonedx.json | parlay ecosystems enrich -

So werden Informationen zu jedem Paket ergänzt, darunter Lizenzdetails, externe Links, Angaben zu den Maintainerinnen und Maintainer und mehr.

1...
2{
3	"bom-ref": "68-subtext@6.0.12",
4	"type": "library",
5	"supplier": {
6		"name": "hapi.js",
7		"url": [
8			"https://hapi.dev"
9		]
10	},
11	"author": "hapi.js",
12	"name": "subtext",
13	"version": "6.0.12",
14	"description": "HTTP payload parsing",
15	"licenses": [
16		{
17			"expression": "BSD-3-Clause"
18		}
19	],
20	"purl": "pkg:npm/subtext@6.0.12",
21	"externalReferences": [
22		{
23			"url": "https://github.com/hapijs/subtext",
24			"type": "website"
25		},
26		{
27			"url": "https://www.npmjs.com/package/subtext",
28			"type": "distribution"
29		},
30		{
31			"url": "https://github.com/hapijs/subtext",
32			"type": "vcs"
33		}
34	],
35	"properties": [
36		{
37			"name": "ecosystems:first_release_published_at",
38			"value": "2014-09-29T01:56:03Z"
39		},
40		{
41			"name": "ecosystems:latest_release_published_at",
42			"value": "2019-01-31T19:36:58Z"
43		}
44	]
45}
46...

parlay unterstützt außerdem die Anreicherung mit Snyk-Schwachstellendaten für Snyk-Kunden.

parlay snyk enrich testing/sbom.cyclonedx.json

Dadurch wird der SBOM ein neues Attribut vulnerabilities hinzugefügt, zum Beispiel:

1"vulnerabilities": [
2  {
3    "bom-ref": "68-subtext@6.0.12",
4    "id": "SNYK-JS-SUBTEXT-467257",
5    "ratings": [
6      {
7        "source": {
8          "name": "Snyk",
9          "url": "https://security.snyk.io"
10        },
11        "score": 7.5,
12        "severity": "high",
13        "method": "CVSSv31",
14        "vector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
15      }
16    ],
17    "cwes": [
18      400
19    ],
20    "description": "Denial of Service (DoS)",
21    "detail": "...",
22    "advisories": [
23      {
24        "title": "GitHub Commit",
25        "url": "https://github.com/brave-intl/subtext/commit/9557c115b1384191a0d6e4a9ea028fedf8b44ae6"
26      },
27      {
28        "title": "GitHub Issue",
29        "url": "https://github.com/hapijs/subtext/issues/72"
30      },
31      {
32        "title": "NPM Security Advisory",
33        "url": "https://www.npmjs.com/advisories/1168"
34      }
35    ],
36    "created": "2019-09-19T10:25:11Z",
37    "updated": "2020-12-14T14:41:09Z"
38  }

parlay arbeitet gerne mit stdin und stdout – Sie können SBOMs aus anderen Tools in parlay weiterleiten und auch die einzelnen enrich-Befehle miteinander verketten.

Vielleicht möchten Sie eine SBOM sowohl mit ecosyste.ms- als auch mit Snyk-Daten anreichern:

cat testing/sbom.cyclonedx.json | parlay e enrich - | parlay s enrich - | jq

Vielleicht möchten Sie die Ausgabe von Syft übernehmen und Schwachstellendaten hinzufügen:

syft -o cyclonedx-json nginx | parlay s enrich - | jq

Vielleicht möchten Sie mit Snyk eine SBOM erstellen, sie um zusätzliche Informationen ergänzen und anschließend mit bomber testen:

snyk sbom | parlay e enrich - | bomber scan --provider snyk -

Die Anreicherung durch ecosyste.ms ergänzt Lizenzinformationen, die Bomber beim Scannen einer SBOM auf Schwachstellen anzeigt:

1Ecosystems detected: gem
2■ Scanning 18 packages for vulnerabilities...
3■ Vulnerability Provider: Snyk (https://security.snyk.io)
4
5■ Files Scanned
6        - (sha256:701770b2317ea8cbd03aa398ecb6a0381c85beaf24d46c45665b53331816e360)
7
8■ Licenses Found: MIT, Apache-2.0, BSD-3-Clause, Ruby

Wie geht es weiter?

Wir würden gerne erfahren, was Sie von der Idee halten, SBOMs anzureichern. Viele bestehende und neue Tools erstellen SBOMs in den Formaten CycloneDX und SPDX, doch diese sind oft recht knapp gehalten. Mit umfassenderen SBOMs können wir darauf aufbauend interessantere Tools entwickeln. Und damit sich die Investition in die Erstellung von SBOMs lohnt, brauchen wir mehr Tools, die sie nutzen und Probleme von Anwendern lösen.

Sie können parlay im Release-Bereich des GitHub-Repositorys herunterladen. In unserem Leitfaden zu parlay und den Möglichkeiten mit einer angereicherten SBOM erfahren Sie mehr über fortgeschrittene Anwendungsfälle – einschließlich Pipelines und Richtlinienprüfungen – und können einem Beispielprojekt folgen.

Wir haben mit Ecosyste.ms, der Anreicherung durch Snyk und CycloneDX begonnen. Wenn Sie Ideen für weitere Datenquellen haben oder bei der Unterstützung von SPDX mithelfen möchten, erstellen Sie bitte ein Issue im offiziellen GitHub-Repository.