Kataloge zu Threat-Intelligence-Exposures

Gepflegte Exposure-Kataloge für aktuelle Supply-Chain-Kampagnen, erstellt aus öffentlichen Threat-Intelligence-Berichten mit Perplexity Computer und über PRs aktualisiert, sobald neue Kampagnen gemeldet werden.

Übergebe einen Katalog mit --exposure-catalog <path> an einen Scan. Prüfe die Einträge vor dem Produktiveinsatz gegen aktuelle Advisories.

Kataloge

Kataloge aus OSV erzeugen

tools/osvcatalog wandelt einen lokalen OSV-Schnappschuss offline in einen Katalog um. Bumblebee fragt zur Scan-Zeit niemals osv.dev ab. Es werden nur Datensätze zu bösartigen Paketen (MAL--IDs oder Datensätze, die auf eine solche ID verweisen) ausgegeben, mit severity: "critical".

Zwei Eingabeformen werden unterstützt. Wähle eine basierend auf der Abdeckung.

OSSF-malicious-packages-Repository (empfohlen, alle Ökosysteme in einem Baum):

git clone --filter=blob:none --sparse --depth=1 \
  https://github.com/ossf/malicious-packages.git mp
git -C mp sparse-checkout set osv/malicious
go run ./tools/osvcatalog \
  -source "https://github.com/ossf/malicious-packages@$(git -C mp rev-parse HEAD)" \
  -o threat_intel/osv-malicious.json mp/osv/malicious/

OSV-Dump pro Ökosystem (ein einzelnes Ökosystem, ZIP-Archiv):

curl -fsSLO https://osv-vulnerabilities.storage.googleapis.com/npm/all.zip
go run ./tools/osvcatalog -o threat_intel/osv-npm-malicious.json npm/all.zip

Jeder Eingabepfad kann ein Verzeichnisbaum, ein OSV-all.zip-Archiv oder ein einzelner .json-Datensatz sein. Unterstützte OSV-Ökosysteme werden in Bumblebee wie folgt abgebildet: npm, PyPI → pypi, Go → go, RubyGems → rubygems, Packagist → packagist, VSCode → editor-extension. Datensätze, deren Bereiche alle Versionen als betroffen deklarieren (ein einzelnes introduced: "0"-Ereignis), werden mit "versions": ["*"] ausgegeben; Datensätze mit nur begrenzten Bereichen und ohne aufgeführte werden übersprungen. Die Ausgabe ist deterministisch, validiert gegen das Schema und sollte vor der Verwendung geprüft werden. Das erzeugte zeichnet den Umfang, die Anzahl pro Ökosystem, die Aufschlüsselung der Überspringungsgründe und das optionale Herkunftslabel auf.