هوبر-كوب

لمراقبة ثغرات قائمة مكونات البرامج (SBOM) الخاصة بك

هوبر كوب هي أداة سطر أوامر ومكتبة بايثون تُنتج معلومات عالية الجودة عن الثغرات الأمنية من قائمة مكونات البرامج (SBOM) بتنسيق cyclone-dx، وذلك من خلال تجميع البيانات من قواعد بيانات متعددة للثغرات. هذا المشروع يُقدم كجزء من نظام hoppr، ولكنه يعمل بكامل وظائفه كأداة سطر أوامر مستقلة أو مكتبة بايثون.

لمزيد من المعلومات، يُرجى الاطلاع على توثيق المشروع

المتطلبات

• هوبر كوب يدعم إصدارات مواصفات CycloneDX: 1.3 و 1.4 و 1.5
• أدوات المسح (مطلوبة إذا رغبت في استخدامها)
  • grype -- الإصدار `0.73.0`` أو أحدث
  • trivy -- الإصدار `0.46.0`` أو أحدث

حالة المشروع

الإصدار الأولي

الميزات

• يدمج البيانات من أربع قواعد بيانات رائدة مفتوحة المصدر للثغرات
  • gemnasium community
  • grype
  • trivy
  • oss-index
• يجمع المعلومات من هذه المصادر بطريقة تقلل التكرار وتضمن معلومات كاملة لكل ثغرة.
• يُنشئ تقارير بعدة تنسيقات
  • cyclone-dx vex إما مضمنًا في قائمة المكونات الحالية أو كملف مستقل.
  • html - معلومات مفصلة عن الثغرات يمكن عرضها في الشبكات غير المتصلة بالإنترنت.
  • فحص تبعيات GitLab، والذي يتيح تقارير الثغرات، قائمة التبعيات، و لوحة المعلومات الأمنية

لماذا

توفر قوائم المكونات (SBOM) طريقة مثالية لجرد جميع التبعيات في المشروع. يجب مراقبة ثغرات المشروع بشكل منتظم. hoppr-cop توفر آلية سهلة للحفاظ على تحديث معلومات الثغرات دون الحاجة إلى إعادة إنشاء قائمة المكونات. توفر تقارير vex و html طريقة مثالية لتوصيل حالة الثغرات للمستخدمين، حتى في الشبكات غير المتصلة بالإنترنت.

لماذا استخدام ماسحات ضوئية متعددة

• توفر تغطية واسعة لمصادر بيانات الثغرات من المنبع. يمكنك الاطلاع على التفاصيل الكاملة لمصادر البيانات هنا. تقدم GitLab و Sonotype تقارير ثغرات خاصة بهما لن تحصل عليها في مكان آخر.
• توفر تغطية أفضل بكثير لمجموعة متنوعة من أنواع مديري الحزم. كل ماسح ضوئي للقوائم (bom scanner) لديه مديرو حزم يتفوق في مسحها، وبعضها يؤدي أداءً ضعيفًا فيها. بالإضافة إلى ذلك، يدعم كل منتج مجموعة مختلفة من أنظمة الحزم البيئية.
• رؤية أن مصادر بيانات متعددة تتفق على نتيجة، يزيد الثقة في أن النتيجة ليست إيجابية كاذبة.
• الجمع بين المعلومات من مصادر متعددة يؤدي إلى معلومات أكثر اكتمالاً ودقة لكل ثغرة يتم تحديدها، مما يؤدي إلى حلول أسرع.

عرض توضيحي

التوثيق

لمزيد من المعلومات، يُرجى الاطلاع على توثيق المشروع