Análise de SBOM para Vulnerabilidades na Cadeia de Suprimentos

Quando Usar

• Um novo requisito regulatório (EO 14028, EU CRA) exige a análise de SBOM para entregas de software
• A equipe de segurança precisa avaliar o risco de terceiros escaneando SBOMs fornecidas por fornecedores
• O pipeline de CI/CD requer verificações automatizadas de vulnerabilidade contra SBOMs geradas
• A resposta a incidentes precisa determinar se uma CVE recém-divulgada afeta o software implantado
• A equipe de compras requer avaliação de risco da cadeia de suprimentos para aquisição de software

Não use para escaneamento de vulnerabilidades em tempo de execução de sistemas ativos; use ferramentas de escaneamento de contêineres (Trivy, Grype CLI) ou scanners de vulnerabilidade baseados em host (Nessus, Qualys) em vez disso.

Pré-requisitos

• Arquivo SBOM no formato CycloneDX JSON (v1.4+) ou SPDX JSON (v2.3+)
• Python 3.9+ com bibliotecas requests, networkx e packaging instaladas
• Chave de API NVD (gratuita, em https://nvd.nist.gov/developers/request-an-api-key) para limites de taxa mais altos
• Acesso à rede à API NVD (https://services.nvd.nist.gov/rest/json/cves/2.0)
• Opcionalmente: syft para geração de SBOM, grype para validação cruzada

Fluxo de Trabalho

Etapa 1: Gerar SBOM (se não fornecido)

Use syft para criar um SBOM a partir de uma imagem de contêiner ou diretório de projeto:

# Generate CycloneDX JSON from a container image
syft alpine:latest -o cyclonedx-json > sbom-cyclonedx.json

# Generate SPDX JSON from a project directory
syft dir:/path/to/project -o spdx-json > sbom-spdx.json

# Generate from a running container
syft docker:my-app-container -o cyclonedx-json > sbom.json

Syft suporta mais de 30 ecossistemas de pacotes, incluindo npm, PyPI, Maven, módulos Go, apt, apk e RPM. O SBOM gerado inclui nomes de pacotes, versões, licenças, identificadores CPE e referências PURL (Package URL).

Etapa 2: Analisar SBOM e Extrair Componentes

Analise o SBOM para extrair todos os componentes de software com seus identificadores:

Estrutura JSON CycloneDX:

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "lodash",
      "version": "4.17.20",
      "purl": "pkg:npm/lodash@4.17.20",
      "cpe": "cpe:2.3:a:lodash:lodash:4.17.20:*:*:*:*:*:*:*",
      "licenses": [{"license": {"id": "MIT"}}]
    }
  ],
  "dependencies": [
    {"ref": "pkg:npm/express@4.18.2", "dependsOn": ["pkg:npm/lodash@4.17.20"]}
  ]
}

Estrutura JSON SPDX:

{
  "spdxVersion": "SPDX-2.3",
  "packages": [
    {
      "name": "lodash",
      "versionInfo": "4.17.20",
      "externalRefs": [
        {"referenceType": "purl", "referenceLocator": "pkg:npm/lodash@4.17.20"},
        {"referenceType": "cpe23Type", "referenceLocator": "cpe:2.3:a:lodash:lodash:4.17.20:*:*:*:*:*:*:*"}
      ],
      "licenseConcluded": "MIT"
    }
  ],
  "relationships": [
    {"spdxElementId": "SPDXRef-express", "relatedSpdxElement": "SPDXRef-lodash",
     "relationshipType": "DEPENDS_ON"}
  ]
}

Etapa 3: Correlacionar Componentes com o Banco de Dados CVE da NVD

Consulte a API NVD 2.0 para encontrar vulnerabilidades conhecidas para cada componente:

import requests

NVD_API = "https://services.nvd.nist.gov/rest/json/cves/2.0"

def search_cves_by_cpe(cpe_name, api_key=None):
    params = {"cpeName": cpe_name, "resultsPerPage": 50}
    headers = {"apiKey": api_key} if api_key else {}
    resp = requests.get(NVD_API, params=params, headers=headers, timeout=30)
    resp.raise_for_status()
    return resp.json().get("vulnerabilities", [])

def search_cves_by_keyword(keyword, version=None, api_key=None):
    params = {"keywordSearch": keyword, "resultsPerPage": 50}
    headers = {"apiKey": api_key} if api_key else {}
    resp = requests.get(NVD_API, params=params, headers=headers, timeout=30)
    resp.raise_for_status()
    return resp.json().get("vulnerabilities", [])

A API NVD suporta busca por nome CPE (mais preciso), palavra-chave, ID CVE e intervalos de datas. Limites de taxa: 5 requisições/30 segundos sem chave de API, 50 requisições/30 segundos com chave.

Etapa 4: Construir Grafo de Dependência e Identificar Riscos Transitórios

Construa um grafo direcionado de dependências para rastrear a propagação de vulnerabilidades:

import networkx as nx

def build_dependency_graph(sbom):
    G = nx.DiGraph()
    # Adicionar nós para cada componente
    for comp in sbom["components"]:
        G.add_node(comp["purl"], name=comp["name"], version=comp["version"])
    # Adicionar arestas de relacionamentos de dependência
    for dep in sbom.get("dependencies", []):
        for child in dep.get("dependsOn", []):

…