Découvrez parlay, l’outil qui enrichit les SBOM

Des SBOM plus riches

L’adoption croissante des normes de nomenclature logicielle (SBOM) commence à favoriser une meilleure interopérabilité entre les outils de sécurité. Les travaux de la NTIA visant à définir un ensemble minimal d’éléments pour un SBOM ont joué un rôle essentiel à cet égard, notamment avec l’utilisation généralisée de plusieurs formats comme CycloneDX et SPDX. Mais alors que les travaux sur SPDX 3.0 et CycloneDX 1.5 progressent, les formats SBOM offrent de nombreuses possibilités au-delà des éléments minimaux.

Vous souhaitez peut-être prendre des décisions fondées sur des règles concernant les licences des packages. Vous aimeriez peut-être accéder rapidement aux sites Web des packages que vous utilisez, ou savoir qui les a créés. Vous voudriez peut-être aussi connaître les vulnérabilités de ces packages en complément de ces informations.

Découvrez Parlay

parlay est un nouvel outil open source de Snyk qui enrichit les SBOM. Rien de tel qu’un exemple pour le montrer : prenons un SBOM simple d’une application JavaScript.

1$ cat testing/sbom.cyclonedx.json
2...
3{
4	"bom-ref": "68-subtext@6.0.12",
5	"type": "library",
6	"name": "subtext",
7	"version": "6.0.12",
8	"purl": "pkg:npm/subtext@6.0.12"
9}
10...

Avec parlay, nous l’enrichissons à l’aide des données d’ecosyste.ms :

$ cat testing/sbom.cyclonedx.json | parlay ecosystems enrich -

Cela ajoute des informations sur chaque package, notamment les détails des licences, des liens externes, des informations sur les responsables de la maintenance, et bien plus encore.

1...
2{
3	"bom-ref": "68-subtext@6.0.12",
4	"type": "library",
5	"supplier": {
6		"name": "hapi.js",
7		"url": [
8			"https://hapi.dev"
9		]
10	},
11	"author": "hapi.js",
12	"name": "subtext",
13	"version": "6.0.12",
14	"description": "HTTP payload parsing",
15	"licenses": [
16		{
17			"expression": "BSD-3-Clause"
18		}
19	],
20	"purl": "pkg:npm/subtext@6.0.12",
21	"externalReferences": [
22		{
23			"url": "https://github.com/hapijs/subtext",
24			"type": "website"
25		},
26		{
27			"url": "https://www.npmjs.com/package/subtext",
28			"type": "distribution"
29		},
30		{
31			"url": "https://github.com/hapijs/subtext",
32			"type": "vcs"
33		}
34	],
35	"properties": [
36		{
37			"name": "ecosystems:first_release_published_at",
38			"value": "2014-09-29T01:56:03Z"
39		},
40		{
41			"name": "ecosystems:latest_release_published_at",
42			"value": "2019-01-31T19:36:58Z"
43		}
44	]
45}
46...

parlay permet également aux clients de Snyk d’enrichir leurs SBOM avec les données de vulnérabilité de Snyk.

parlay snyk enrich testing/sbom.cyclonedx.json

Cela ajoute un nouvel attribut vulnerabilities au SBOM, par exemple :

1"vulnerabilities": [
2  {
3    "bom-ref": "68-subtext@6.0.12",
4    "id": "SNYK-JS-SUBTEXT-467257",
5    "ratings": [
6      {
7        "source": {
8          "name": "Snyk",
9          "url": "https://security.snyk.io"
10        },
11        "score": 7.5,
12        "severity": "high",
13        "method": "CVSSv31",
14        "vector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
15      }
16    ],
17    "cwes": [
18      400
19    ],
20    "description": "Denial of Service (DoS)",
21    "detail": "...",
22    "advisories": [
23      {
24        "title": "GitHub Commit",
25        "url": "https://github.com/brave-intl/subtext/commit/9557c115b1384191a0d6e4a9ea028fedf8b44ae6"
26      },
27      {
28        "title": "GitHub Issue",
29        "url": "https://github.com/hapijs/subtext/issues/72"
30      },
31      {
32        "title": "NPM Security Advisory",
33        "url": "https://www.npmjs.com/advisories/1168"
34      }
35    ],
36    "created": "2019-09-19T10:25:11Z",
37    "updated": "2020-12-14T14:41:09Z"
38  }

parlay apprécie particulièrement stdin et stdout : vous pouvez envoyer des SBOM provenant d’autres outils vers parlay et enchaîner les différentes commandes enrich.

Vous souhaitez peut-être enrichir un SBOM avec les données d’ecosyste.ms et de Snyk :

cat testing/sbom.cyclonedx.json | parlay e enrich - | parlay s enrich - | jq

Vous souhaitez peut-être utiliser la sortie de Syft et y ajouter des données de vulnérabilité :

syft -o cyclonedx-json nginx | parlay s enrich - | jq

Vous souhaitez peut-être générer un SBOM avec Snyk, l’enrichir avec des informations supplémentaires, puis le tester avec bomber :

snyk sbom | parlay e enrich - | bomber scan --provider snyk -

L’enrichissement d’ecosyste.ms ajoute des informations sur les licences, que Bomber met en évidence lors de l’analyse des vulnérabilités d’un SBOM :

1Ecosystems detected: gem
2■ Scanning 18 packages for vulnerabilities...
3■ Vulnerability Provider: Snyk (https://security.snyk.io)
4
5■ Files Scanned
6        - (sha256:701770b2317ea8cbd03aa398ecb6a0381c85beaf24d46c45665b53331816e360)
7
8■ Licenses Found: MIT, Apache-2.0, BSD-3-Clause, Ruby

Et ensuite ?

Nous aimerions connaître l’avis de chacun sur le principe de l’enrichissement des SBOM. De nombreux outils, nouveaux ou existants, génèrent des SBOM aux formats CycloneDX et SPDX, mais ceux-ci restent souvent assez succincts. Des SBOM plus riches nous permettent de créer des outils plus intéressants. Et pour que tous les efforts consacrés à la génération de SBOM en valent la peine, il nous faut davantage d’outils capables de les exploiter et de résoudre les problèmes des utilisateurs.

Vous pouvez télécharger parlay dans la section des versions du dépôt GitHub. Pour découvrir des cas d’usage avancés — notamment l’enchaînement des étapes et la vérification des règles — et suivre un projet exemple, consultez notre guide sur parlay et les possibilités offertes par un SBOM enrichi.

Nous avons commencé avec Ecosyste.ms, l’enrichissement de Snyk et CycloneDX. Si vous avez des idées d’autres sources de données ou souhaitez contribuer à la prise en charge de SPDX, veuillez ouvrir une issue dans le dépôt GitHub officiel.