Mastodon on ZHub

HabrКакие ваши доказательства? Объясняем разработчику отчёты SCA на пальцах. Часть 2Привет, Habr! С вами вновь Анастасия Березовская, инженер по безопасности процессов разработки приложений в Swordfish Security. Сегодня мы продолжим наш нелегкий путь в получении Evidence для SBOM. В первой части статьи мы разобрались, что же такое Evidence с точки зрения SBOM. Описали, что представляет собой граф свойств кода, на базе которого происходят все операции нарезки, и рассмотрели срезы использования. Сегодня мы поговорим про срезы достижимости и срезы потоков данных. И, самое главное, разберем, как всё это превращается в расширенный SBOM с вхождениями. Приятного чтения!<a href="https://habr.com/ru/companies/swordfish_security/articles/845526/" target="_blank" rel="nofollow noopener noreferrer" translate="no">https://habr.com/ru/companies/swordfish_security/articles/845526/</a><a href="https://zhub.link/tags/static_analysis" class="mention hashtag" rel="tag">#static_analysis</a> <a href="https://zhub.link/tags/sca" class="mention hashtag" rel="tag">#sca</a> <a href="https://zhub.link/tags/reachable" class="mention hashtag" rel="tag">#reachable</a> <a href="https://zhub.link/tags/dataflow" class="mention hashtag" rel="tag">#dataflow</a> <a href="https://zhub.link/tags/sbom" class="mention hashtag" rel="tag">#sbom</a> <a href="https://zhub.link/tags/software_composition_analysis" class="mention hashtag" rel="tag">#software_composition_analysis</a> <a href="https://zhub.link/tags/cdxgen" class="mention hashtag" rel="tag">#cdxgen</a> <a href="https://zhub.link/tags/evinse" class="mention hashtag" rel="tag">#evinse</a> <a href="https://zhub.link/tags/%D1%81%D1%82%D0%B0%D1%82%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B9_%D0%B0%D0%BD%D0%B0%D0%BB%D0%B8%D0%B7" class="mention hashtag" rel="tag">#статический_анализ</a>

HabrСекреты успешного SCA: использование режима evinse в cdxgen. Часть IПривет, читатели Habr! С вами Анастасия Березовская, инженер по безопасности процессов разработки приложений в Swordfish Security. Сегодня мы расскажем про еще один инструмент, встречающийся в построении процессов Software Composition Analysis (SCA) — сdxgen . Он, как и популярный сканер Trivy, разбирает файлы манифестов, бинарные и другие файлы для извлечения информации о внешних компонентах, используемых в проекте. Кстати, о Trivy мы писали в одной из наших предыдущих статей, заходите почитать . Главным объектом нашего анализа стал новый и очень интересный режим работы cdxgen под названием evinse, представленный авторами в 2023 году. Evinse по исходному коду предоставляет расширенную информацию об evidence — свидетельства присутствия компонента в исходном коде. На момент написания статьи cdxgen является единственной Open Source-утилитой, которая обладает подобной функциональностью. Мы опишем математику, используемую "под капотом", и объясним, почему решили интегрировать результаты работы режима в наших продуктах. Статья получилась достаточно объемной, поэтому мы решили разделить её на две части. В первой мы рассмотрим, что представляет собой объект Evidence с точки зрения SBOM. Опишем базовые математические понятия, которые необходимы для понимания работы утилиты evinse в части построения расширенного SBOM. Здесь же рассмотрим первый вид нарезки использования. Во второй части статьи мы поговорим про остальные виды нарезок — срезы потоков данных и достижимости. Разберем, наконец-то, как из них получается SBOM. Итак, погнали!<a href="https://habr.com/ru/companies/swordfish_security/articles/840922/" target="_blank" rel="nofollow noopener noreferrer" translate="no">https://habr.com/ru/companies/swordfish_security/articles/840922/</a><a href="https://zhub.link/tags/cdxgen" class="mention hashtag" rel="tag">#cdxgen</a> <a href="https://zhub.link/tags/evinse" class="mention hashtag" rel="tag">#evinse</a> <a href="https://zhub.link/tags/SCA" class="mention hashtag" rel="tag">#SCA</a> <a href="https://zhub.link/tags/software_composition_analysis" class="mention hashtag" rel="tag">#software_composition_analysis</a> <a href="https://zhub.link/tags/ast" class="mention hashtag" rel="tag">#ast</a> <a href="https://zhub.link/tags/slice" class="mention hashtag" rel="tag">#slice</a> <a href="https://zhub.link/tags/program_analysis" class="mention hashtag" rel="tag">#program_analysis</a> <a href="https://zhub.link/tags/static_analysis" class="mention hashtag" rel="tag">#static_analysis</a> <a href="https://zhub.link/tags/sbom" class="mention hashtag" rel="tag">#sbom</a> <a href="https://zhub.link/tags/cyclonedx" class="mention hashtag" rel="tag">#cyclonedx</a>

Recent searches

Search options

Administered by:

Server stats:

#evinse