sbomlyze

sbomlyze あなたのSBOMのためのgit diff。 2つのSoftware Bill of Materials（SBOM）を比較し、ビルド間・バージョン間・リリース間で何が変わったかを確認します。 sbomlyzeは、バージョン文字列だけでなくコンポーネントのハッシュを比較します。攻撃者がバージョンを上げずにパッケージをすり替えた場合、sbomlyzeはそれを検出します。SBOMジェネレータや脆弱性スキャナではこのような変化を見逃します。...

osv.dev

ドキュメント 包括的なドキュメントはこちらからご利用いただけます。 APIドキュメントはこちらからご利用いただけます。 データダンプ GCSバケットgs://osv-vulnerabilitiesからデータダンプを提供しています。詳細についてはドキュメントをご覧ください。 Web UIの表示 OSVのWeb UIのインスタンスがhttps://osv.devでデプロイされています。 スキャナーの使用 Goベースのツールを提供しており、依存関係をスキャンし、OSV APIを介してOSVデータベースと照合して既知の脆弱性を確認します。 現在、さまざまなロックファイル、Debian...

Dependency Scanning

依存関係とライセンススキャンのためのコンポーネント このコンポーネントは、GitLabがプロジェクトの依存関係とそのライセンスを特定するために使用するCycloneDXソフトウェア部品表（Software Bill of Materials）を生成します。このCycloneDXソフトウェア部品表はGitLabの分類法と互換性があります。さらに、このコンポーネントは、プロジェクトの依存関係で検出された脆弱性から依存関係スキャンレポートを生成することもできます。 必要条件 このCI/CDコンポーネントには、GitLabの依存関係スキャン機能、GitLab Ultimate機能が必要です。...

hoppr-cop

Hoppr-Cop SBOM脆弱性の監視のために Hoppr Copは、複数の脆弱性データベースからデータを集約して、cyclone-dx ソフトウェア部品表（SBOM）から高品質の脆弱性情報を生成するCLIおよびPythonライブラリです。このプロジェクトはhopprエコシステムの一部として提供されていますが、単独のCLIまたはPythonライブラリとしても完全に機能します。 詳細については、プロジェクトドキュメントを参照してください。 必要条件 Hoppr CopはCycloneDX仕様バージョン1.3、1.4、1.5をサポートしています。 スキャンツール（使用する場合に必要）...

emba

EMBA 嵌入式设备固件安全分析器 EMBA 被设计为中央固件分析与 SBOM 工具，适用于渗透测试人员、产品安全团队、开发者和产品经理。它支持从 固件提取 、 静态分析 、通过仿真进行 动态分析 ，到构建 SBOM 以及最终生成基于 Web 的漏洞报告的完整安全分析流程。 EMBA 自动发现固件中可能存在的薄弱点和漏洞，例如不安全的二进制文件、过时或陈旧的软件组件、可能存在漏洞的脚本，以及硬编码密码。 EMBA 是一个命令行工具，并能够生成易于使用的 Web 报告以供进一步分析。 EMBA 帮助渗透测试人员、产品安全团队和开发者识别固件镜像中的薄弱点和漏洞。 EMBA...

SBOM-VEX-Taint-Analysis

SBOM → VEX Agent OWASP GenAI セキュリティプロジェクトのガイドラインに準拠して構築されたセキュアなマルチエージェント AI パイプラインを使用し、SBOM から署名付き CycloneDX VEX ドキュメントを自動生成します。 問題 SBOM を生成すると、数百もの CVE が浮上します。実際には、その 90% 以上が特定の製品のランタイムコンテキストでは悪用不可能です。脆弱性悪用可能性交換（VEX）ドキュメントがなければ、Dependency-Track、リリースゲート、調達チェックリストなど、下流のすべてのツールが誤検知に埋もれてしまいます。...

dependency-track

OWASP Dependency-Track Dependency-Trackは、組織がソフトウェアサプライチェーンにおけるリスクを特定し軽減することを可能にする、インテリジェントなコンポーネント分析プラットフォームです。Dependency-Trackは、ソフトウェア部品表（SBOM）の機能を活用するという、独自で非常に有益なアプローチを採用しています。...

grepmarx

Grepmarx - アプリケーションセキュリティプラットフォーム Grepmarxは、大規模で未知のコードベースの脆弱性を迅速に理解、分析、特定するための単一プラットフォームを提供するWebアプリケーションです。 特徴 SAST（静的アプリケーションセキュリティテスト）機能: 複数の言語サポート: C/C++, C, Go, HTML, Java, Kotlin, JavaScript, TypeScript, OCaml, PHP, Python, Ruby, Bash, Rust, Scala, Solidity, Terraform, Swift 複数のフレームワークサポート:...

bomber

bomberは、SBOMをスキャンしてセキュリティ脆弱性を検出するアプリケーションです。 概要 ベンダーにクローズドソース製品のソフトウェア部品表（SBOM）を依頼し、JSONファイルで提供されたとしましょう。さて、次は何をするのでしょうか？ まず最初にすべきことは、SBOMにリストされているコンポーネントにセキュリティ脆弱性がないか、そしてそれらのコンポーネントがどのようなライセンスを持っているかを確認することです。これにより、その製品を使用する際にどのようなリスクを負うことになるかを把握できます。...

syft

Syft コンテナイメージとファイルシステムからソフトウェア部品表（SBOM）を生成するためのCLIツールおよびGoライブラリ。Grypeなどのスキャナーと組み合わせて使用すると、脆弱性の検出に非常に優れた効果を発揮します。...

minimal

小的、加固的容器镜像，免费且采用MIT许可证。 使用 Chainguard 的 apko 和 Wolfi 包从源代码构建，每六小时重建一次。 每个镜像都经过 cosign 签名，附带 SPDX SBOM 证明，并携带 SLSA Level 3 构建来源。您无需账户即可验证所有内容。 🌐 在 minimalcontainers.com 浏览完整目录 → 镜像目录 · 验证镜像 · 全部57个镜像 · HN讨论 30秒内拉取并验证 这些镜像的意义在于您无需信任我。拉取一个，然后亲自检查来源：bash Pull. It's public — no login, no rate limit...

Startup-SBOM

Startup-SBOM Startup-SBOM es una utilidad universal diseñada para proporcionar una visión interna de qué paquetes se ejecutan durante el inicio de un sistema Linux o dentro de un contenedor Docker. Al analizar archivos de servicio, scripts de init y puntos de entrada de contenedores, la herramien...

KubeLight

OWASP KubeLight - Kubernetes セキュリティスキャナー Kubernetesクラスタをセキュリティとコンプライアンスの観点でスキャンします 1. K8sクラスタをスキャンして設定ミスを検出します。 2. 軽量、純Python、高速、マルチスレッドのツールです。 3. NoSQLクエリエンジン。 4. Slack 上でのリアルタイムアラート 5. SBOM生成とイメージ脆弱性スキャン。 6. PCI-DSS、SOC2、NSA、CISベンチマークのコンプライアンスレポート。 注記 - 上記の機能はバージョン0.0.5でリリース予定です。 TODOS...

kubeclarity

!IMPORTANT KubeClarityは非推奨となり、openclarity/openclarityに引き継がれました。 詳細はリリースのお知らせをご確認ください。 このプロジェクトは更新されません。移行を推奨します。 KubeClarityは、コンテナイメージとファイルシステムのソフトウェア部品表（SBOM）および脆弱性を検出・管理するためのツールです。ランタイムのK8sクラスターとCI/CDパイプラインの両方をスキャンし、ソフトウェアサプライチェーンセキュリティを強化します。 目次 なぜ？ SBOMと脆弱性検出の課題 解決策 機能 統合されたSBOM生成ツールと脆弱性スキャナー...

openclarity

OpenClarity is an open source tool for agentless detection and management of Virtual Machine Software Bill Of Materials SBOM and security threats such as vulnerabilities, exploits, malware, rootkits, misconfigurations and leaked secrets. Join OpenClarity's Slack channel to hear about the latest...

openclarity

OpenClarityは、仮想マシンのソフトウェア部品表（SBOM）や、脆弱性、エクスプロイト、マルウェア、ルートキット、設定ミス、漏洩した秘密情報などのセキュリティ脅威をエージェントレスで検出・管理するためのオープンソースツールです。 OpenClarityのSlackチャンネルに参加して、最新のお知らせや今後の活動をチェックしてください。フィードバックをお待ちしております！ 目次 なぜOpenClarityなのか？ はじめに 概要 使用方法 1. OpenClarityスタック 2. CLI 3. Goモジュール アセット検出 対応ファイルシステム アーキテクチャ ロードマップ...

text4shell-policy

Text4Shell 演示 本演示展示了如何使用 Sigstore 验证已签名的 SBOM，以在 Kubernetes 或命令行中对照 text4shell 策略进行检查。 选项1：使用 cue 与 cosign 2.0 检查您的远程 OCI 镜像是否受影响 root@kitploit: cosign verify-attestation --policy policy/text4shell.cue --type https://cyclonedx.org/bom --certificate-identity-regexp=...

Supply-Chain

ソフトウェアサプライチェーンセキュリティ ソフトウェアサプライチェーンセキュリティに関する包括的な3冊シリーズ。脅威、防御、ガバナンスをカバーします。このオープンソース原稿は、セキュリティ専門家、開発者、組織のリーダーに、現代のソフトウェア開発プラクティスを保護するための実践的なガイダンスを提供します。 本書シリーズ 書籍| タイトル| 章| 焦点 ---|---|---|--- ブック1| ソフトウェアサプライチェーンの理解| 1-10| 基礎と攻撃パターン ブック2| ソフトウェアサプライチェーンの保護| 11-22| 実践的な防御と実装 ブック3| ソフトウェアサプライチェーンの統...

bom-view

BOM View 一个简单的静态Web应用程序，用于显示来自软件物料清单（SBOM）文件的软件依赖项。由于是静态站点，可以轻松托管在任何静态Web托管服务上，例如GitLab Pages、GitHub Pages或Netlify。 功能 SBOM查看器 ：以清晰、可搜索的表格显示CycloneDX/SPDX JSON SBOM中的组件。 动态加载 ：无需重建站点即可添加和显示SBOM。 按需漏洞扫描 ：使用osv.dev数据库扫描单个包或整个SBOM的已知漏洞。此外，BOM View还可以显示由Grype或Trivy等工具生成的CycloneDX SBOM中已包含（“内置”）的漏洞。...

SecAssessment-GapDetection-Thesis

D3FENDer - MITRE ATT&CK および D3FEND フレームワークを使用したセキュリティ評価およびギャップ検出ツール D3FENDer は、Michael によって修士論文「MITRE ATT&CK および D3FEND フレームワークを使用したセキュリティ評価およびギャップ検出システムの開発」のために開発されたルールベースの CLI ツールです。このツールは、組織の既存の防御対策を評価し、セキュリティギャップを特定し、さまざまな攻撃ベクトルを検出し、MITRE ATT&CK および D3FEND ナレッジベースに基づく緩和策を提案するように設計されています。...