Presentamos parlay, una herramienta para enriquecer SBOMs

Necesitamos SBOMs más completos

La creciente adopción de los estándares de lista de materiales de software (SBOM) está empezando a impulsar una mejor interoperabilidad entre las herramientas de seguridad. El trabajo de la NTIA para definir un conjunto mínimo de elementos para un SBOM fue una parte clave de ese avance, sobre todo porque hay varios formatos de uso generalizado, como CycloneDX y SPDX. Sin embargo, con los avances de SPDX 3.0 y CycloneDX 1.5, hay muchas otras cosas que podemos hacer con los formatos SBOM, más allá de los elementos mínimos.

Quizás quieras tomar decisiones basadas en políticas sobre la información de licencias de los paquetes. Tal vez quieras acceder rápidamente a los sitios web de los paquetes que usas o saber quién los creó. También quizá quieras conocer las vulnerabilidades de esos paquetes junto con esa información.

Presentamos Parlay

parlay es una nueva herramienta de código abierto de Snyk que enriquece los SBOMs. La forma más sencilla de mostrarlo es con un ejemplo, así que veamos un SBOM simple de una aplicación JavaScript.

1$ cat testing/sbom.cyclonedx.json
2...
3{
4	"bom-ref": "68-subtext@6.0.12",
5	"type": "library",
6	"name": "subtext",
7	"version": "6.0.12",
8	"purl": "pkg:npm/subtext@6.0.12"
9}
10...

Con parlay, lo enriquecemos con datos de ecosyste.ms:

$ cat testing/sbom.cyclonedx.json | parlay ecosystems enrich -

Esto agrega información sobre cada paquete, como detalles de licencias, enlaces externos, información de los responsables del mantenimiento y mucho más.

1...
2{
3	"bom-ref": "68-subtext@6.0.12",
4	"type": "library",
5	"supplier": {
6		"name": "hapi.js",
7		"url": [
8			"https://hapi.dev"
9		]
10	},
11	"author": "hapi.js",
12	"name": "subtext",
13	"version": "6.0.12",
14	"description": "HTTP payload parsing",
15	"licenses": [
16		{
17			"expression": "BSD-3-Clause"
18		}
19	],
20	"purl": "pkg:npm/subtext@6.0.12",
21	"externalReferences": [
22		{
23			"url": "https://github.com/hapijs/subtext",
24			"type": "website"
25		},
26		{
27			"url": "https://www.npmjs.com/package/subtext",
28			"type": "distribution"
29		},
30		{
31			"url": "https://github.com/hapijs/subtext",
32			"type": "vcs"
33		}
34	],
35	"properties": [
36		{
37			"name": "ecosystems:first_release_published_at",
38			"value": "2014-09-29T01:56:03Z"
39		},
40		{
41			"name": "ecosystems:latest_release_published_at",
42			"value": "2019-01-31T19:36:58Z"
43		}
44	]
45}
46...

parlay también permite enriquecer los SBOMs con datos de vulnerabilidades de Snyk para los clientes de Snyk.

parlay snyk enrich testing/sbom.cyclonedx.json

Esto agrega un nuevo atributo de vulnerabilidades al SBOM, por ejemplo:

1"vulnerabilities": [
2  {
3    "bom-ref": "68-subtext@6.0.12",
4    "id": "SNYK-JS-SUBTEXT-467257",
5    "ratings": [
6      {
7        "source": {
8          "name": "Snyk",
9          "url": "https://security.snyk.io"
10        },
11        "score": 7.5,
12        "severity": "high",
13        "method": "CVSSv31",
14        "vector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
15      }
16    ],
17    "cwes": [
18      400
19    ],
20    "description": "Denial of Service (DoS)",
21    "detail": "...",
22    "advisories": [
23      {
24        "title": "GitHub Commit",
25        "url": "https://github.com/brave-intl/subtext/commit/9557c115b1384191a0d6e4a9ea028fedf8b44ae6"
26      },
27      {
28        "title": "GitHub Issue",
29        "url": "https://github.com/hapijs/subtext/issues/72"
30      },
31      {
32        "title": "NPM Security Advisory",
33        "url": "https://www.npmjs.com/advisories/1168"
34      }
35    ],
36    "created": "2019-09-19T10:25:11Z",
37    "updated": "2020-12-14T14:41:09Z"
38  }

A parlay le encanta stdin y stdout: puedes canalizar SBOMs desde otras herramientas hacia parlay y también entre los distintos comandos enrich.

Quizás quieras enriquecer un SBOM con datos de ecosyste.ms y de Snyk:

cat testing/sbom.cyclonedx.json | parlay e enrich - | parlay s enrich - | jq

Quizás quieras tomar la salida de Syft y agregar datos de vulnerabilidades:

syft -o cyclonedx-json nginx | parlay s enrich - | jq

Quizás quieras generar un SBOM con Snyk, enriquecerlo con información adicional y probarlo con bomber:

snyk sbom | parlay e enrich - | bomber scan --provider snyk -

El enriquecimiento de ecosyste.ms agrega información sobre licencias, que Bomber muestra al analizar un SBOM en busca de vulnerabilidades:

1Ecosystems detected: gem
2■ Scanning 18 packages for vulnerabilities...
3■ Vulnerability Provider: Snyk (https://security.snyk.io)
4
5■ Files Scanned
6        - (sha256:701770b2317ea8cbd03aa398ecb6a0381c85beaf24d46c45665b53331816e360)
7
8■ Licenses Found: MIT, Apache-2.0, BSD-3-Clause, Ruby

¿Qué sigue?

Nos gustaría saber qué opina la gente sobre la idea de enriquecer los SBOMs. Muchas herramientas existentes y nuevas generan SBOMs en CycloneDX y SPDX, pero suelen ser bastante básicos. Con SBOMs más completos, podemos crear herramientas más interesantes. Y para que toda la inversión en generar SBOMs valga la pena, necesitamos más herramientas que los procesen y resuelvan problemas de los usuarios.

Puedes descargar parlay desde la sección de versiones del repositorio de GitHub. Para conocer algunos casos de uso avanzados —como la creación de pipelines y la verificación de políticas— y seguir los pasos con un proyecto de ejemplo, consulta nuestra guía de parlay y de lo que puedes hacer con un SBOM enriquecido.

Empezamos con Ecosyste.ms, el enriquecimiento de Snyk y CycloneDX, pero si tienes ideas para otras fuentes de datos o quieres ayudar a dar soporte a SPDX, abre un issue en el repositorio oficial de GitHub.