Geração e Análise de SBOMs

Uso Autorizado Apenas: Gere e escaneie SBOMs apenas para softwares e imagens que você possui ou tem autorização para avaliar. Trate SBOMs como dados de inventário sensíveis — eles revelam a superfície de ataque de suas dependências.

Visão Geral

Um Software Bill of Materials (SBOM) é um inventário formal e legível por máquina de cada componente, biblioteca e dependência em um software — o equivalente à lista de ingredientes da cadeia de suprimentos. SBOMs são centrais para a defesa contra comprometimento da cadeia de suprimentos (iniciativa SBOM da CISA, Ordem Executiva 14028 dos EUA) porque você não pode corrigir o que não pode ver. Os dois padrões dominantes de SBOM são:

• CycloneDX — um padrão OWASP otimizado para casos de uso de segurança (vulnerabilidades, VEX, relacionamentos de dependência).
• SPDX — um padrão Linux Foundation / ISO (ISO/IEC 5962) forte em licenciamento e proveniência.

A ferramenta de código aberto de referência é da Anchore:

• Syft gera SBOMs (CycloneDX, SPDX ou seu formato nativo) a partir de imagens de contêiner e sistemas de arquivos.
• Grype compara um SBOM (ou imagem) com bancos de dados de vulnerabilidades para encontrar CVEs.
• Cosign (Sigstore) assina SBOMs e os anexa às imagens como atestações assinadas para proveniência à prova de adulteração.

Esta habilidade abrange a produção de SBOMs compatíveis com os padrões, sua correlação com inteligência de vulnerabilidades e a incorporação do fluxo de trabalho em CI/CD.

Quando Usar

• Estabelecer e manter um inventário de componentes para aplicações e imagens de contêiner.
• Detectar continuamente vulnerabilidades conhecidas (incluindo CVEs recém-divulgadas contra artefatos existentes).
• Atender aos requisitos de SBOM de aquisição/regulatórios (CISA, EO 14028).
• Produzir atestações de SBOM assinadas para confiança na cadeia de suprimentos downstream.

Pré-requisitos

• Instale Syft e Grype (scripts de instalação oficiais):

  curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin
  curl -sSfL https://raw.githubusercontent.com/anchore/grype/main/install.sh | sh -s -- -b /usr/local/bin
  

• Instale Cosign para assinatura/atestação:

  # via Go, or download a release from https://github.com/sigstore/cosign/releases
  go install github.com/sigstore/cosign/v2/cmd/cosign@latest
  

• Acesso às imagens/fontes de destino e (para assinatura) um registro mais chaves ou OIDC sem chave.

Objetivos

• Gerar SBOMs CycloneDX e SPDX a partir de imagens e diretórios.
• Escanear SBOMs e imagens em busca de vulnerabilidades com Grype.
• Bloquear builds de CI/CD com base em limites de severidade.
• Assinar e anexar atestações de SBOM com Cosign e verificá-las.

Mapeamento MITRE ATT&CK

Esta é uma habilidade defensiva de cadeia de suprimentos; o mapeamento reflete a técnica do adversário que ela foi projetada para detectar e mitigar.

Fluxo de Trabalho

1. Gerar um SBOM CycloneDX a partir de uma imagem de contêiner

-o <format> seleciona a saída; cyclonedx-json é voltado para segurança.

syft alpine:latest -o cyclonedx-json=alpine.cdx.json

2. Gerar um SBOM SPDX a partir de um diretório de origem

Use a origem dir: para inventariar um repositório clonado; spdx-json para o padrão SPDX.

syft dir:. -o spdx-json=app.spdx.json

3. Emitir múltiplos formatos de uma vez

Produza ambos os padrões em uma única passagem para diferentes consumidores.

syft myorg/app:1.4.2 \
  -o cyclonedx-json=app.cdx.json \
  -o spdx-json=app.spdx.json \
  -o table

4. Escanear o SBOM em busca de vulnerabilidades com Grype

Desacoplar a geração da varredura permite que você re-escanear SBOMs armazenados à medida que novos CVEs chegam — sem reconstruir.

# Scan an existing SBOM
grype sbom:app.cdx.json -o table

# JSON report for automation
grype sbom:app.cdx.json -o json > app.vulns.json

Você também pode escanear uma imagem diretamente (Grype gera o SBOM internamente):

grype myorg/app:1.4.2 -o table

5. Bloquear CI/CD por severidade

--fail-on sai com código diferente de zero em ou acima de uma severidade, falhando o pipeline.

grype sbom:app.cdx.json --fail-on high

Filtre ruídos não corrigíveis com uma política .grype.yaml (only-fixed: true) ou --only-fixed:

grype sbom:app.cdx.json --only-fixed --fail-on critical

…