info upd
This commit is contained in:
parent
ca103aedd6
commit
bb677f0d07
3 changed files with 28 additions and 70 deletions
73
README.md
73
README.md
|
|
@ -1,50 +1,33 @@
|
|||
|
||||
```
|
||||
+ syft scan dir:/rootfs -o cyclonedx-json
|
||||
✔ Indexed file system /rootfs
|
||||
✔ Cataloged contents 83b7387d3411e9d0b9e349f1e47f95630500de718e8a464db45ab2dd616f5cfa
|
||||
├── ✔ Packages [5 packages]
|
||||
├── ✔ File metadata [12 locations]
|
||||
├── ✔ File digests [12 files]
|
||||
└── ✔ Executables [130 executables] [0000] WARN no explicit name and version provided for directory source, deriving artifact ID from the given path (which is
|
||||
### SBOM
|
||||
|
||||
Файлы SBOM прикладываются к [релизным артефактам](/main/micro-dag-airflow-numpy-opencv/releases).
|
||||
|
||||
Они также присоединяется к образам в виде аттестаций. Для проверки:
|
||||
|
||||
```sh
|
||||
cosign verify-attestation box.lapttm.ru/main/pyenv:py3.14-g39 \
|
||||
--key sigstore-pub \
|
||||
--insecure-ignore-tlog \
|
||||
--type 'https://lapttm.internal/spec/cyclonedx#sbom-base-sys'
|
||||
```
|
||||
|
||||
```
|
||||
+ trivy sbom sbom.json
|
||||
2026-09-21T23:30:40Z INFO [vuln] Vulnerability scanning is enabled
|
||||
2026-09-21T23:30:40Z INFO Detected SBOM format format="cyclonedx-json"
|
||||
2026-09-21T23:30:40Z WARN Third-party SBOM may lead to inaccurate vulnerability detection
|
||||
2026-09-21T23:30:40Z WARN Recommend using Trivy to generate SBOMs
|
||||
2026-09-21T23:30:40Z INFO Detected OS family="ubuntu" version="24.04"
|
||||
2026-09-21T23:30:40Z INFO [ubuntu] Detecting vulnerabilities... os_version="24.04" pkg_num=1
|
||||
2026-09-21T23:30:40Z INFO Number of language-specific files num=1
|
||||
2026-09-21T23:30:40Z INFO [python-pkg] Detecting vulnerabilities...
|
||||
|
||||
Report Summary
|
||||
|
||||
┌──────────────────────────┬────────────┬─────────────────┐
|
||||
│ Target │ Type │ Vulnerabilities │
|
||||
├──────────────────────────┼────────────┼─────────────────┤
|
||||
│ sbom.json (ubuntu 24.04) │ ubuntu │ 0 │
|
||||
├──────────────────────────┼────────────┼─────────────────┤
|
||||
│ Python │ python-pkg │ 0 │
|
||||
└──────────────────────────┴────────────┴─────────────────┘
|
||||
Legend:
|
||||
- '-': Not scanned
|
||||
- '0': Clean (no security findings detected)
|
||||
```sh
|
||||
cosign verify-attestation box.lapttm.ru/main/pyenv:py3.14-g39 \
|
||||
--key sigstore-pub \
|
||||
--insecure-ignore-tlog \
|
||||
--type 'https://lapttm.internal/spec/cyclonedx#sbom-python-venv'
|
||||
```
|
||||
|
||||
```
|
||||
+ trivy rootfs --format sarif --output trivy-results.sarif /rootfs
|
||||
2026-09-21T23:30:40Z INFO [vuln] Vulnerability scanning is enabled
|
||||
2026-09-21T23:30:40Z INFO [secret] Secret scanning is enabled
|
||||
2026-09-21T23:30:40Z INFO [secret] If your scanning is slow, please try '--scanners vuln' to disable secret scanning
|
||||
2026-09-21T23:30:40Z INFO [secret] Please see https://trivy.dev/docs/v0.74/guide/scanner/secret#recommendation for faster secret detection
|
||||
2026-09-21T23:30:40Z INFO [python] Licenses acquired from one or more METADATA files may be subject to additional terms. Use `--debug` flag to see all affected packages.
|
||||
2026-09-21T23:30:40Z WARN No OS package is detected. Make sure you haven't deleted any files that contain information about the installed packages.
|
||||
2026-09-21T23:30:40Z WARN e.g. files under "/lib/apk/db/", "/var/lib/dpkg/" and "/var/lib/rpm"
|
||||
2026-09-21T23:30:40Z INFO Detected OS family="ubuntu" version="24.04"
|
||||
2026-09-21T23:30:40Z INFO [ubuntu] Detecting vulnerabilities... os_version="24.04" pkg_num=0
|
||||
2026-09-21T23:30:40Z INFO Number of language-specific files num=1
|
||||
2026-09-21T23:30:40Z INFO [python-pkg] Detecting vulnerabilities...
|
||||
```
|
||||
- Почему `--insecure-ignore-tlog` -- для полной отвязки от внешних сервисов (Fulcio/Rekor), которые не доступны в _air-gapped_ среде.
|
||||
|
||||
Замечание: здесь на демо-витрине это не является каким-либо компромиссом ИБ, т.к. операции по сборке не делегированы сторонним площадкам/сервисам, и для контроля целостности на участке "от сборки до доставки/хранения" достаточно лишь проверки хэш-сумм. Применение аттестаций в текущем процессе избыточно и реализовано исключительно для удобства прикрепления SBOM к OCI-образам.
|
||||
|
||||
<!-- Дополнение: модель доверия выстраивается и конфигурируется индивидуально в зависимости от предпочтений заказчика относительно выбора УЦ/KMS и площадки выполнения сборки. -->
|
||||
|
||||
- Почему два перечня SBOM -- образ составляется из двух _"слоёв"_: для системных пакетов и Python-окружения (_venv_) отдельно. Использование сторонних утилит (например, для слияния SBOM-ов в один файл) в процессах сборки сильно ограничивается умышленно. Для решения подобных задач предпочитаем собственные библиотеки.
|
||||
|
||||
|
||||
### SCA
|
||||
|
||||
Результаты проверки компонентов прикладываются к [релизным артефактам](/main/micro-dag-airflow-numpy-opencv/releases).
|
||||
|
|
|
|||
File diff suppressed because one or more lines are too long
|
|
@ -1,24 +0,0 @@
|
|||
{
|
||||
"version": "2.1.0",
|
||||
"$schema": "https://raw.githubusercontent.com/oasis-tcs/sarif-spec/main/sarif-2.1/schema/sarif-schema-2.1.0.json",
|
||||
"runs": [
|
||||
{
|
||||
"tool": {
|
||||
"driver": {
|
||||
"fullName": "Trivy Vulnerability Scanner",
|
||||
"informationUri": "https://github.com/aquasecurity/trivy",
|
||||
"name": "Trivy",
|
||||
"rules": [],
|
||||
"version": "0.74.0"
|
||||
}
|
||||
},
|
||||
"results": [],
|
||||
"columnKind": "utf16CodeUnits",
|
||||
"originalUriBaseIds": {
|
||||
"ROOTPATH": {
|
||||
"uri": "file:///rootfs/"
|
||||
}
|
||||
}
|
||||
}
|
||||
]
|
||||
}
|
||||
Loading…
Add table
Add a link
Reference in a new issue