BOM View

Una aplicación web estática y sencilla para visualizar dependencias de software a partir de archivos de Lista de Materiales de Software (SBOM). Al ser un sitio estático, se puede alojar fácilmente en cualquier servicio de alojamiento web estático, como GitLab Pages, GitHub Pages o Netlify.

Características

• Visor de SBOM: Muestra los componentes de SBOM en formato JSON CycloneDX/SPDX en una tabla clara y con capacidad de búsqueda.
• Carga dinámica: Agregue y muestre SBOM sin necesidad de reconstruir el sitio.
• Escaneo de vulnerabilidades bajo demanda: Analice paquetes individuales o un SBOM completo en busca de vulnerabilidades conocidas utilizando la base de datos osv.dev. Además, BOM View puede mostrar vulnerabilidades que ya están incluidas ("integradas") dentro de SBOM CycloneDX generados por herramientas como Grype o Trivy.
  • Ejemplos de generación de SBOM con vulnerabilidades:
    • Trivy: trivy image <image> --format=cyclonedx --output=sbom.json --scanners vuln
    • Grype: grype <image> --output cyclonedx-json > sbom.json
  • Nota: Esta funcionalidad actualmente solo es compatible con SBOM CycloneDX.
• OpenSSF Scorecards: Enriquece los datos de los paquetes con puntuaciones de seguridad de OpenSSF Scorecard, proporcionando información sobre la postura de seguridad de la cadena de suministro.

Formatos Soportados

Actualmente, BOM View soporta los formatos CycloneDX y SPDX en JSON. Estos pueden ser generados por herramientas como syft.

Agregar SBOM a su Sitio

Esta aplicación está diseñada para cargar SBOM de forma dinámica en tiempo de ejecución. Para agregar sus propios SBOM, no es necesario reconstruir el proyecto. Siga estos pasos en el directorio raíz de su sitio estático desplegado (por ejemplo, la carpeta dist o public servida por su trabajo de páginas).

1. Cree el directorio sboms: Si aún no existe, cree un directorio llamado sboms.

2. Agregue sus SBOM: Copie sus archivos JSON CycloneDX/SPDX en el directorio sboms.

3. Actualice el archivo de índice: Cree o actualice un archivo llamado index.json dentro del directorio sboms. Este archivo le indica a la aplicación qué SBOM están disponibles. Debe contener un único arreglo JSON de cadenas, donde cada cadena es el nombre de un archivo SBOM en ese directorio.

   Por ejemplo, si tiene my-app.json y another-lib.json, el archivo index.json debería verse así:

   root@kitploit:~

   [
     "my-app.json",
     "another-lib.json"
   ]
   

Luego, la aplicación obtendrá el index.json para llenar el menú desplegable de selección de SBOM y cargará el archivo correspondiente cuando sea seleccionado.

Ejemplo de CI/CD con GitLab Pages

A continuación se muestra un ejemplo de configuración .gitlab-ci.yml que descarga una compilación predefinida, extrae SBOM y crea dinámicamente el index.json para el despliegue.

stages:
  - sbom
  - deploy

create_sbom:
  stage: sbom
  image: alpine:3.23.2
  before_script:
    - apk add syft
  script:
    - mkdir sboms
    - syft alpine:3.19 -o cyclonedx-json=sboms/alpine-cyclone.json
  artifacts:
    paths:
      - sboms

pages:
  stage: deploy
  image: alpine:3.23.2
  before_script:
    - apk add curl jq
  script:
    - curl -L https://github.com/hristiy4n/bom-view/releases/download/v0.4.0/bom-view-v0.4.0-dist.tar.gz | tar zx
    - mv dist public
    - mkdir public/sboms
    - cp sboms/* public/sboms
    - |
      find sboms -maxdepth 1 -type f -name '*.json' ! -name 'index.json' \
      | sed 's|.*/||' \
      | sort \
      | jq -R . | jq -s . > public/sboms/index.json
  needs:
    - job: create_sbom
  artifacts:
    paths:
      - public

Puede ver un ejemplo en vivo de esta configuración en acción aquí: https://security-dashboard-a9b4f8.gitlab.io/

Estructura de Directorios Requerida

Su directorio de despliegue final debe tener la siguiente estructura:

dist/
├── assets/
│   └── ... (archivos CSS y JS)
├── index.html
└── sboms/
    ├── index.json
    ├── sbom1.json
    ├── sbom2.json
    └── ...