مدقّق SBOM من ndaal

تطبيق ويب أحادي الملف التنفيذي يعمل دون اتصال بالشبكة لفحص ملفات SBOM (قائمة مكوّنات البرمجيات). ارفع ملف SBOM أو استورد مجلدًا يحتوي عليها، وحلّل كلًّا منها بمجموعة من الأدوات المستقلة، وراجع النتائج الموحّدة في واجهة محلية واحدة، ثم صدّر النتيجة بثمانية صيغ. لا تثبيت، ولا وصول إلى الشبكة، ولا قياسات عن بُعد.

English · Deutsch · Français · Español · Italiano

ما الذي يفعله

1. الاستيعاب — ارفع ملف SBOM في المتصفح، أو استورد كل ملفات SBOM في مجلد قابل للتهيئة. تُكتشف صيغ CycloneDX (JSON/XML) وSPDX (JSON/tag-value و3.0 JSON-LD) وsyft-json؛ وتُحسب بصمة محتوى الملفات وتُزال التكرارات.
2. التحليل — شغّل الأدوات الممكّنة على ملف SBOM، كل واحدة كعملية فرعية معزولة ضمن مهلة زمنية وحدّ للتزامن. الأداة المفقودة تُعدّ تخطيًا مميزًا بوضوح؛ أما الأداة المثبّتة التي يتعذّر تشغيلها أو لا تستجيب خلال 15 ثانية فتُعدّ فشلًا مع ذكر السبب. ولا يُبلَّغ عن أي منهما كنتيجة سليمة أبدًا.
3. النتائج — يُوحَّد مخرَج كل أداة إلى شكل مشترك، مع استخراج اسم CVE من معرّف GHSA/OSV الخاص بالأداة، وتُعرض لكل أداة مع شارات الخطورة.
4. التقييم — قيّم ملف SBOM مقابل جميع عناصر CISA 2026 الدنيا السبعة عشر، مع التمييز بين NOASSERTION الصريح من المورّد والحقل الغائب ببساطة.
5. البحث — اعرف أيّ من ملفات SBOM لديك تُصرّح بمكوّن معيّن، عبر المجموعة كاملة، بالاسم أو بعنوان الحزمة (package URL).
6. التصدير — اكتب التحليل بصيغ SARIF 2.1 وSARIF 2.2 وMarkdown وODT وDOCX وPDF وتنبيهات CSAF 2.1 / 2.2. Export يحفظ الصيغ المحدّدة في مجلد التصدير على الخادم، ويرافق كلًّا منها خمسة ملفات مرافقة لبصمات تشفيرية؛ أما Start download فيولّد الصيغ نفسها في الذاكرة ويبثّها إلى المتصفح — مستندًا واحدًا، أو حزمة ZIP لعدّة مستندات — دون كتابة أي شيء على القرص.

لوحة تحكم ملفات SBOM المخزّنة

تسرد الصفحة الرئيسية (/) كل ملف SBOM مخزّن وتبقى قابلة للاستخدام مع نمو المجموعة:

• ترقيم الصفحات — 25 صفًّا في الصفحة، مع تعليق "عرض X–Y من N" وأزرار السابق / الصفحة / التالي.
• أعمدة قابلة للفرز — انقر على ترويسة Name أو Format أو Components للفرز حسبها؛ وانقر على الترويسة مرة أخرى لعكس الاتجاه.
• الأحدث رفعًا أولًا — تفتح القائمة بأحدث ملف SBOM مرفوع، مع وقته في عمود Last uploaded. ورفع ملف SBOM مخزّن مسبقًا يعيده إلى الأعلى؛ وتحتفظ صفحة تفاصيله بوقت Ingested الأصلي بجانب Last uploaded.
• مرشّح الصيغة — ضيّق القائمة إلى صيغة واحدة (CycloneDX JSON/XML، SPDX JSON، SPDX 3.0 JSON، SPDX tag-value، Syft JSON أو Unknown)؛ وزر Reset يمسح المرشّحات مع الإبقاء على الفرز الحالي.
• عمود الخطورة — عمود في أقصى اليمين، بعد Last uploaded، يعرض أعلى خطورة نتيجة واحدة لكل ملف SBOM (Critical أو High أو Medium أو Low أو Negligible)، أو "—" عندما لا تكون له نتائج بعد، مع مرشّح خطورة مطابق.
• بحث نصّي كامل — مربّع بحث، مدعوم بفهرس نصّي كامل من tantivy، يطابق اسم ملف SBOM وصيغته وإصدار المواصفة، فضلًا عن أسماء المكوّنات التي يحتويها وعناوين حزمها، لذا فإن استعلامًا مثل log4j أو openssl يجد كل ملف SBOM يشمل ذلك المكوّن. الاستعلام محدود الطول ويُحلَّل بتسامح.

البحث عن المكوّنات

يجيب /components عن السؤال المعاكس — أيّ من ملفات SBOM لديّ تُصرّح بهذا المكوّن — عبر المجموعة كاملة دفعة واحدة، باسم المكوّن أو بعنوان الحزمة الدقيق. وهو يقرأ فهرس مكوّنات مخصّصًا يُبنى عند الاستيعاب، منفصلًا عن الفهرس النصّي الكامل للوحة التحكم.

ولأن فهرسًا قديمًا سيجعل ملف SBOM متأثرًا فعلًا يظهر كـ"غير متأثر"، توضّح الصفحة عدد ملفات SBOM غير المفهرسة بعد وتوفّر Rebuild index، الذي يعيد تحليل البايتات المحتفظ بها لتلك الملفات تحديدًا. ولا يكتمل البحث إلا بعد زوال ذلك التحذير.

تعني "مفهرس" أن الفهرس قد بُني، وهذا ليس مماثلًا لـ"أنتج صفوفًا": فملف SBOM يحتوي على بيانات وصفية فقط لا يُصرّح بأي مكوّنات، فلا يسهم بأي منها ومع ذلك يكون مفهرسًا بالكامل. ويسجّل المخزن واقعة الفهرسة لكل ملف SBOM (schema v8، components_indexed_at) بدلًا من استنتاجها من وجود الصفوف — إذ كان استنتاجها يعني أن ملف SBOM خاليًا من المكوّنات لا يمكن أن يغادر مجموعة "غير المفهرس بعد"، فيبقى التحذير بعد كل إعادة بناء ويُبلّغ الزر عن الملفات نفسها كمفهرسة حديثًا إلى الأبد. والترقية تُرحّل تلقائيًا وتملأ ما كان له صفوف بالفعل؛ وتُسوّي إعادة بناء واحدة ما تبقّى.

مجموعة المحلّلات

كل أداة اختيارية وقت التشغيل وتُكتشف على PATH (يمكن تجاوز الملف التنفيذي بـ SBA_TOOL_<NAME>_BIN). ولا تعتمد النتائج أبدًا على أداة واحدة. وقبل كل فحص تُشغَّل الأداة مرة واحدة بوسيط الإصدار الخاص بها: عدم وجود الملف التنفيذي يعني skip (not found on PATH)، أما الملف التنفيذي الذي يتعذّر تشغيله أو لا يعطي إجابة خلال 15 ثانية فيعني fail مع ذلك السبب.

الأداة	الدور	تم التحقق منها مقابل
syft	موحّد SBOM / محوّل CycloneDX 1.6	1.52.0
grype	مطابق CVE	0.119.0
trivy	ماسح الثغرات	0.74.0
osv-scanner	استعلامات قاعدة بيانات OSV	2.4.0, 2.6.0
bomber	مطابق مستقل ضمن المجموعة	0.5.1
bomdrift	انحراف سلسلة التوريد / typosquat (SARIF)	0.9.9
inspektr	ماسح ثغرات SBOM (JSON)	0.1.9
shieldbom	ماسح CVE مدمج/إنترنت الأشياء دون اتصال (SARIF)	0.3.0
provenant	الترخيص / حقوق النشر / المصدر (ScanCode)	1.0.10

"تم التحقق منها مقابل" هو الإصدار الذي جُرّب به كل استدعاء فعليًا، وليس حدًّا أدنى ولا تثبيتًا: فالأدوات تُحلّ على PATH وقت التشغيل وأي إصدار متوافق يعمل. ويُدرج osv-scanner إصدارين لأن 2.6.0 أُعيد التحقق منه بعد أن غيّر خط 2.x طريقة تسجيله — فالصيغة الموثّقة scan --lockfile <input> --format json لم تتغيّر وما زالت تُخرج رمز خروج غير صفري عند وجود نتائج، لذا لم تكن هناك حاجة لتغيير الشيفرة.

تسهم الأدوات الثماني الأولى بـنتائج ثغرات على شكل CVE؛ أما provenant فمختلف — إذ يبلّغ عن مصدر الترخيص وحقوق النشر والمالك والمؤلف، وهو ما يخزّنه المدقّق ويعرضه بشكل نتيجة خاص به (قسم "Licence & provenance" لكل تشغيل، مُضمَّن في تصدير Markdown) بدلًا من إهماله.

لا تستطيع الماسحات قراءة كل صيغة مباشرة: فـ bomber يستهلك CycloneDX ≤ 1.6 فقط، ولا يقرأ أي من الماسحات SPDX 3.0 JSON-LD. وفي كلتا الحالتين يوحّد المدقّق المدخل إلى CycloneDX عبر syft convert أولًا، ويتخطّى بسبب موثّق عندما يكون syft غير متاح بدلًا من أن تُبلّغ أداة عن صفر حزم. وتُحدَّث قاعدة بيانات ثغرات grype مرة واحدة لكل تشغيل (خارج النطاق) بحيث يكون التقادم الروتيني فحصًا جديدًا لا فحصًا فاشلًا.

إثراء الثغرات

بعد التحليل، تُثرى كل نتيجة على شكل CVE بثلاث إشارات حقيقية مسحوبة من خدمة vulnlookup (الافتراضية https://vulnlookup.ndaal.eu):

• EPSS — درجة احتمال الاستغلال ومئينها المئوي.
• CISA-KEV — علامة تُشير إلى أن CVE معروفة بأنها مستغَلّة.
• nuclei — ما إذا كان هناك قالب استغلال عام، ودرجة خطورته.

تُظهر كل نتيجة قيم KEV وNuclei وEPSS وSource الخاصة بها، حيث يربط Source عودةً إلى سجل vulnlookup، وتُرتَّب النتائج من الأكثر إلحاحًا أولًا: تتصدّر المدخلات المعروفة بأنها مستغَلّة (KEV)، ثم تلك ذات المئين المئوي الأعلى في EPSS؛ أما النتائج بلا إثراء فتحتفظ بالترتيب الذي أنتجها به المحلّل. وينتقل الإثراء إلى كل صيغة تصدير — SARIF 2.1 / 2.2 وMarkdown وODT وDOCX وPDF وCSAF 2.1 / 2.2، حيث يحمل CSAF قيمة EPSS كمقياس أصلي ويسجّل CISA-KEV وnuclei كملاحظات — ونموذج التصدير الآن يحدّد كل الصيغ افتراضيًا.