guacsec/guacيجمع بيانات وصفية لأمن سلسلة توريد البرمجيات (قوائم مكونات البرمجيات، التصديقات، الثغرات الأمنية) في قاعدة بيانات بيانية قابلة للاستعلام لأغراض التدقيق والسياسات وإدارة المخاطر.
ملاحظة: GUAC قيد التطوير النشط - إذا كنت مهتمًا بالمساهمة، يرجى الاطلاع على دليل المساهم. GUAC هو مشروع حاضن ضمن OpenSSF تحت مجموعة عمل سلامة سلسلة التوريد.
رسم بياني لفهم تركيب القطع الأثرية (GUAC) يجمع البيانات الوصفية لأمن البرمجيات في قاعدة بيانات رسومية عالية الدقة—يعمل على تطبيع هويات الكيانات ورسم العلاقات القياسية بينها. يمكن للاستعلام عن هذا الرسم البياني أن يحقق نتائج تنظيمية عالية المستوى مثل التدقيق، السياسات، إدارة المخاطر، وحتى مساعدة المطورين.
من الناحية المفاهيمية، تحتل GUAC طبقة "التجميع والتوليف" في النموذج المنطقي لشفافية سلسلة توريد البرمجيات:
بعض الأمثلة على الأسئلة التي تجيب عليها GUAC تشمل:
توفر وثائقنا مكانًا جيدًا للبدء.
لدينا العديد من حالات الاستخدام التجريبية التي يمكنك الاطلاع عليها.
بدء خدمات GUAC باستخدام دليل البدء السريع لـ docker compose.
يأتي المستودع مع إعداد .devcontainer يشغل مجموعة GUAC الكاملة (GraphQL وREST وcollectsub وingestor وNATS ومجمّعات deps_dev / osv / ClearlyDefined) محليًا على Docker، مدعومًا بصورة إصدار GUAC المنشورة. افتح المستودع في VS Code باستخدام إضافة حاويات التطوير واختر "Reopen in Container" -- يتم توجيه ملعب GraphQL إلى المنفذ 8080 وواجهة REST API إلى 8081. يعمل أيضًا مع JetBrains Gateway و DevPod.
جميع وثائق GUAC موجودة على docs.guac.sh، مدعومة بمستودع docs github.
فيما يلي نظرة عامة على هندسة GUAC:
للحصول على نظرة متعمقة وشرح لمكونات GUAC Beta، يرجى الرجوع إلى كيف يعمل GUAC.
لاحظ أن GUAC يستخدم معايير معرفات البرمجيات للمساعدة في ربط البيانات الوصفية معًا. ومع ذلك، فإن هذه المعرفات ليست متاحة دائمًا ويجب استخدام الاستدلال لربطها. لذلك، قد توجد حالات حافة غير معالجة وأخطاء تحدث عند استيعاب البيانات. نقدر لك إنشاء مشكلة جودة البيانات إذا واجهت أي أخطاء أو مشاكل مع الاستيعاب.
يدعم GUAC واجهات خلفية متعددة خلف طبقة تجريد برمجية. واجهة GraphQL API هي نفسها دائمًا ويجب ألا يتأثر العملاء بالواجهة الخلفية المستخدمة. يتم تصنيف الواجهات الخلفية إلى:
مدعومة/غير مدعومة: الواجهات الخلفية المدعومة هي تلك التي يلتزم مشروع GUAC بصيانتها بنشاط. الواجهات الخلفية غير المدعومة لا تتم صيانتها بنشاط ولكنها تقبل مساهمات المجتمع.
كاملة/غير كاملة: الواجهات الخلفية الكاملة تدعم جميع واجهات GraphQL الإلزامية. الواجهات الخلفية غير الكاملة تدعم مجموعة فرعية من تلك الواجهات وقد لا تكون مكتملة الميزات.
محسّنة: خضعت الواجهة الخلفية لمستوى من التحسين للمساعدة في تحسين الأداء.
الواجهتان الخلفيتان المدعومتان والكاملتان والمحسنتان هما:
keyvalue (مدعومة، كاملة، محسّنة): واجهة خلفية غير دائمة في الذاكرة لا تتطلب أي بنية تحتية إضافية. تعمل أيضًا كواجهة خلفية للتوافق مع تطبيقات API. نوصي بالبدء بهذه إذا كنت بدأت للتو مع GUAC!
ent (مدعومة، كاملة محسّنة) مع PostgreSQL: واجهة خلفية دائمة تعتمد على Entity Framework for Go يمكن تشغيلها على واجهات SQL خلفية متنوعة. يدعم GUAC فقط ent مع PostgreSQL. واجهات ent الأخرى مثل MySQL و SQLite غير مدعومة.
الواجهات الخلفية الأخرى هي:
arangoDB (غير مدعومة، غير كاملة، محسّنة): واجهة خلفية دائمة تعتمد على ArangoDB
neo4j/openCypher (غير مدعومة، غير كاملة): واجهة خلفية دائمة تعتمد على neo4j و openCypher. يجب أن تعمل هذه الواجهة الخلفية مع أي قاعدة بيانات تدعم استعلامات openCypher.
keyvalue: Redis (تجريبية، كاملة): واجهة keyvalue الخلفية الافتراضية، ولكن باستخدام Redis كمخزن.
keyvalue: TiKV (تجريبية، كاملة): واجهة keyvalue الخلفية الافتراضية، ولكن باستخدام TiKV كمخزن.
لمزيد من المعلومات حول كيفية المشاركة في المجتمع، القوائم البريدية والاجتماعات، يرجى الرجوع إلى صفحة المجتمع
للمشكلات الأمنية أو مخاوف مدونة السلوك، يجب إرسال بريد إلكتروني إلى [email protected].
يمكن العثور على معلومات حول الحوكمة، بما في ذلك ميثاق المشروع، في مستودع guacsec/governance.
