Conheça o parlay, uma ferramenta para enriquecer SBOMs

Precisamos de SBOMs mais completos

A adoção crescente dos padrões de lista de materiais de software (SBOM) começa a promover uma interoperabilidade maior entre ferramentas de segurança. O trabalho da NTIA para definir um conjunto mínimo de elementos para uma SBOM foi fundamental nesse processo, especialmente com formatos como CycloneDX e SPDX amplamente utilizados. Mas, com o avanço do trabalho no SPDX 3.0 e no CycloneDX 1.5, há muitas possibilidades além dos elementos mínimos.

Talvez você queira tomar decisões com base em políticas sobre as licenças dos pacotes. Talvez queira acessar rapidamente os sites dos pacotes que usa ou saber quem os criou. Ou talvez queira conhecer as vulnerabilidades desses pacotes junto com essas informações.

Conheça o Parlay

O parlay é uma nova ferramenta de código aberto da Snyk que enriquece SBOMs. A forma mais simples de demonstrar como funciona é com um exemplo. Vamos usar uma SBOM básica de um aplicativo JavaScript.

1$ cat testing/sbom.cyclonedx.json
2...
3{
4	"bom-ref": "68-subtext@6.0.12",
5	"type": "library",
6	"name": "subtext",
7	"version": "6.0.12",
8	"purl": "pkg:npm/subtext@6.0.12"
9}
10...

Com o parlay, enriquecemos a SBOM usando dados do ecosyste.ms:

$ cat testing/sbom.cyclonedx.json | parlay ecosystems enrich -

Isso adiciona informações sobre cada pacote, incluindo detalhes da licença, links externos, informações sobre os mantenedores e muito mais.

1...
2{
3	"bom-ref": "68-subtext@6.0.12",
4	"type": "library",
5	"supplier": {
6		"name": "hapi.js",
7		"url": [
8			"https://hapi.dev"
9		]
10	},
11	"author": "hapi.js",
12	"name": "subtext",
13	"version": "6.0.12",
14	"description": "HTTP payload parsing",
15	"licenses": [
16		{
17			"expression": "BSD-3-Clause"
18		}
19	],
20	"purl": "pkg:npm/subtext@6.0.12",
21	"externalReferences": [
22		{
23			"url": "https://github.com/hapijs/subtext",
24			"type": "website"
25		},
26		{
27			"url": "https://www.npmjs.com/package/subtext",
28			"type": "distribution"
29		},
30		{
31			"url": "https://github.com/hapijs/subtext",
32			"type": "vcs"
33		}
34	],
35	"properties": [
36		{
37			"name": "ecosystems:first_release_published_at",
38			"value": "2014-09-29T01:56:03Z"
39		},
40		{
41			"name": "ecosystems:latest_release_published_at",
42			"value": "2019-01-31T19:36:58Z"
43		}
44	]
45}
46...

O parlay também permite enriquecer SBOMs com dados de vulnerabilidades da Snyk para clientes da Snyk.

parlay snyk enrich testing/sbom.cyclonedx.json

Isso adiciona um novo atributo vulnerabilities à SBOM. Por exemplo:

1"vulnerabilities": [
2  {
3    "bom-ref": "68-subtext@6.0.12",
4    "id": "SNYK-JS-SUBTEXT-467257",
5    "ratings": [
6      {
7        "source": {
8          "name": "Snyk",
9          "url": "https://security.snyk.io"
10        },
11        "score": 7.5,
12        "severity": "high",
13        "method": "CVSSv31",
14        "vector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
15      }
16    ],
17    "cwes": [
18      400
19    ],
20    "description": "Denial of Service (DoS)",
21    "detail": "...",
22    "advisories": [
23      {
24        "title": "GitHub Commit",
25        "url": "https://github.com/brave-intl/subtext/commit/9557c115b1384191a0d6e4a9ea028fedf8b44ae6"
26      },
27      {
28        "title": "GitHub Issue",
29        "url": "https://github.com/hapijs/subtext/issues/72"
30      },
31      {
32        "title": "NPM Security Advisory",
33        "url": "https://www.npmjs.com/advisories/1168"
34      }
35    ],
36    "created": "2019-09-19T10:25:11Z",
37    "updated": "2020-12-14T14:41:09Z"
38  }

O parlay adora stdin e stdout: você pode direcionar SBOMs geradas por outras ferramentas para o parlay e encadear também os comandos enrich.

Talvez você queira enriquecer uma SBOM com dados do ecosyste.ms e da Snyk:

cat testing/sbom.cyclonedx.json | parlay e enrich - | parlay s enrich - | jq

Talvez você queira usar a saída do Syft e adicionar dados de vulnerabilidades:

syft -o cyclonedx-json nginx | parlay s enrich - | jq

Talvez você queira gerar uma SBOM com a Snyk, enriquecê-la com informações adicionais e testá-la com o bomber:

snyk sbom | parlay e enrich - | bomber scan --provider snyk -

O enriquecimento do ecosyste.ms adiciona informações sobre licenças, que o Bomber exibe ao analisar uma SBOM em busca de vulnerabilidades:

1Ecosystems detected: gem
2■ Scanning 18 packages for vulnerabilities...
3■ Vulnerability Provider: Snyk (https://security.snyk.io)
4
5■ Files Scanned
6        - (sha256:701770b2317ea8cbd03aa398ecb6a0381c85beaf24d46c45665b53331816e360)
7
8■ Licenses Found: MIT, Apache-2.0, BSD-3-Clause, Ruby

E agora?

Queremos saber o que as pessoas pensam sobre a ideia de enriquecer SBOMs. Muitas ferramentas, novas e já existentes, geram SBOMs nos formatos CycloneDX e SPDX, mas essas SBOMs costumam ser bastante básicas. Com SBOMs mais completas, podemos criar ferramentas mais interessantes. E, para que todo o esforço de gerar SBOMs valha a pena, precisamos de mais ferramentas que as utilizem e resolvam os problemas de quem as usa.

Você pode baixar o parlay na seção de versões do repositório no GitHub. Para conhecer cenários avançados — incluindo encadeamento de comandos e verificação de políticas — e acompanhar um projeto de exemplo, confira nosso guia do parlay e das possibilidades de uma SBOM enriquecida.

Começamos com o enriquecimento do Ecosyste.ms e da Snyk, além do CycloneDX. Se você tiver ideias de outras fontes de dados ou quiser ajudar a dar suporte ao SPDX, abra uma issue no repositório oficial do GitHub.