脅威インテリジェンス暴露カタログ

最近のサプライチェーンキャンペーン向けに維持されている暴露カタログ。Perplexity Computer を用いた公開脅威インテリジェンスレポートから構築され、新しいキャンペーンが報告されるたびにPRを通じて更新されます。

--exposure-catalog <path> を使用してスキャンにカタログを渡します。本番環境で使用する前に、エントリを現在のアドバイザリと照合してください。

カタログ

OSV からのカタログ生成

tools/osvcatalog はローカルの OSV スナップショットをオフラインでカタログに変換します。Bumblebee はスキャン時に osv.dev にクエリを送信することはありません。悪意のあるパッケージレコード（MAL- ID、またはそれにエイリアスされたレコード）のみが severity: "critical" とともに出力されます。

2つの入力形式がサポートされています。カバレッジに基づいて選択してください。

OSSF malicious-packages リポジトリ（推奨、すべてのエコシステムが1つのツリーに）:

git clone --filter=blob:none --sparse --depth=1 \
  https://github.com/ossf/malicious-packages.git mp
git -C mp sparse-checkout set osv/malicious
go run ./tools/osvcatalog \
  -source "https://github.com/ossf/malicious-packages@$(git -C mp rev-parse HEAD)" \
  -o threat_intel/osv-malicious.json mp/osv/malicious/

OSV エコシステムごとのダンプ（単一エコシステム、zip アーカイブ）:

curl -fsSLO https://osv-vulnerabilities.storage.googleapis.com/npm/all.zip
go run ./tools/osvcatalog -o threat_intel/osv-npm-malicious.json npm/all.zip

各入力パスは、ディレクトリツリー、OSV all.zip アーカイブ、または単一の .json レコードのいずれかです。サポートされている OSV エコシステムは Bumblebee に次のようにマッピングされます：npm、PyPI → pypi、Go → go、RubyGems → rubygems、Packagist → packagist、VSCode → editor-extension。範囲がすべてのバージョンが影響を受けると宣言しているレコード（単一の introduced: "0" イベント）は "versions": ["*"] で出力されます。範囲が限定されていて が列挙されていないレコードはスキップされます。出力は決定論的で、スキーマに対して検証され、使用前にレビューされるべきです。生成された は、スコープ、エコシステムごとのカウント、スキップ理由の内訳、およびオプションの 来歴ラベルを記録します。