Hoppr-Cop

SBOM 취약점을 단속하기 위한 도구

Hoppr Cop은 여러 취약점 데이터베이스의 데이터를 집계하여 cyclone-dx Software Bill of Materials(SBOM)로부터 고품질 취약점 정보를 생성하는 CLI 및 Python 라이브러리입니다. 이 프로젝트는 hoppr 생태계의 일부로 제공되지만, 독립형 CLI 또는 Python 라이브러리로도 완전히 사용할 수 있습니다.

자세한 내용은 프로젝트 문서를 참조하십시오.

요구 사항

Hoppr Cop은 CycloneDX 사양 버전 1.3, 1.4, 1.5를 지원합니다.
스캔 도구 (필요한 경우)
- grype -- 버전 0.73.0 이상
- trivy -- 버전 0.46.0 이상

프로젝트 상태

초기 릴리스

기능

4개의 주요 오픈소스 취약점 데이터베이스의 데이터 통합
중복을 줄이고 각 취약점에 대한 완전한 정보를 보장하는 방식으로 이러한 소스의 정보를 결합합니다.
여러 형식으로 보고서 생성
- cyclone-dx vex – 기존 BOM에 포함되거나 독립형 파일로 제공
- html – 연결이 끊긴 네트워크에서도 볼 수 있는 상세 취약점 정보
- GitLab Dependency Scanning – Vulnerability Reports, Dependency List, Security Dashboard를 지원합니다.

이유

SBOM은 프로젝트의 모든 종속성을 목록화하는 이상적인 방법을 제공합니다. 프로젝트의 취약점은 정기적으로 모니터링되어야 합니다. hoppr-cop은 SBOM을 다시 생성하지 않고도 취약점 정보를 최신 상태로 유지하는 쉬운 메커니즘을 제공합니다. VEX 및 HTML 보고서는 연결이 끊긴 네트워크에서도 취약점 상태를 사용자에게 전달하는 이상적인 방법을 제공합니다.

여러 스캐너를 사용하는 이유

업스트림 취약점 데이터 소스를 폭넓게 커버합니다. 데이터 소스의 전체 내용은 여기에서 확인할 수 있습니다. GitLab과 Sonatype은 다른 곳에서는 얻을 수 없는 자체 취약점 보고를 제공합니다.
다양한 패키지 관리자 유형에 대해 훨씬 더 나은 커버리지를 제공합니다. 각 BOM 스캐너는 특정 패키지 관리자를 잘 스캔하고 일부는 취약합니다. 또한 각 제품은 서로 다른 패키지 생태계 집합을 지원합니다.
여러 데이터 소스가 결과에 동의하면 해당 결과가 오탐(false positive)이 아닐 확신이 높아집니다.
여러 소스의 정보를 결합하면 식별된 각 취약점에 대해 더 완전하고 정확한 정보가 생성되어 더 빠른 해결이 가능합니다.

데모

HopprCop 사용 예시

문서