Especificação do Repositório VEX v0.1

Especificação do Repositório VEX v0.1

As palavras-chave "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY" e "OPTIONAL" neste documento devem ser interpretadas conforme descrito na RFC 2119.

1. Versionamento

A Especificação do Repositório VEX (Vulnerability Exploitability eXchange) DEVE usar versionamento vX.Y.
Para v1.0 e posteriores:
- X (versão principal) DEVE ser atualizado para mudanças que quebram a compatibilidade.
- Y (versão secundária) DEVE ser atualizado para mudanças compatíveis com versões anteriores.
Para versões v0.Y, mudanças que quebram a compatibilidade PODEM ocorrer com atualizações de versão secundária.

Ao comparar versões:

Versões DEVEM ser comparadas numericamente, não lexicograficamente.
Versões principais DEVEM ser comparadas primeiro:
- Se as versões principais diferirem, a versão com o número de versão principal maior é considerada mais recente.
- Se as versões principais forem iguais, prossiga para comparar as versões secundárias.
Versões secundárias DEVEM ser comparadas apenas quando as versões principais forem iguais:
- A versão com o número de versão secundária maior é considerada mais recente.

Exemplos de comparação:

1.0 < 2.0
1.1 < 1.2
1.10 > 1.2

2. Manifesto do Repositório

2.1 Visão Geral

O arquivo de manifesto fornece metadados sobre um repositório de dados VEX. Este arquivo DEVE conter informações necessárias para recuperar e atualizar dados VEX.

2.2 Localização do Arquivo

Para HTTPS: O arquivo de manifesto DEVE estar localizado em https://<domain>/.well-known/vex-repository.json
Para repositórios GitHub: vex-repository.json DEVE ser colocado no diretório raiz do branch principal.

2.3 Esquema

O esquema JSON para o arquivo de manifesto é definido aqui.

2.4 Exemplo

{
  "name": "Example Org VEX Repository",
  "description": "VEX repository for Example Organization",
  "versions": [
    {
      "spec_version": "0.1",
      "locations": [
        {
          "url": "https://example.com/vex-hub/v0/vex-data-v0.tar.gz"
        }
      ],
      "update_interval": "24h",
      "repository_specific": {
        "location": {
          "repository_type": "db",
          "db_type": "bbolt",
          "url": "oci://ghcr.io/example.com/vex-db:0"
        }
      }
    },
    {
      "spec_version": "1.0",
      "locations": [
        {
          "url": "https://example.com/vex-hub/v1/vex-data-v1.tar.gz//subdirectory"
        },
        {
          "url": "https://example.com/vex-api/v1"
        }
      ],
      "update_interval": "1h"
    }
  ]
}

2.5 Descrições dos Campos e Notas de Uso

Campos Principais

Campo	Obrigatório	Descrição e Notas de Uso
name	✓	O nome do repositório.
description	✓	Uma breve descrição do repositório.
versions	✓	Uma matriz contendo detalhes das versões disponíveis. Cada objeto na matriz representa uma versão que implementa uma versão da Especificação do Repositório VEX. As versões DEVEM ser ordenadas em ordem crescente, da mais antiga para a mais recente. Consulte a tabela separada para subcampos.

Subcampos de Versões

Campo	Obrigatório	Descrição e Notas de Uso
spec_version	✓	A versão da Especificação do Repositório VEX implementada (ex.: "0.1"). O formato DEVE ser "X.Y" conforme definido na seção 1.
locations	✓	Uma matriz de objetos que descrevem as localizações dos dados VEX. DEVE conter pelo menos um objeto de localização. Consulte a tabela separada para subcampos.
update_interval	✓	O intervalo recomendado de verificação de atualização para os dados VEX desta versão. Usa o formato de duração do Go (ex.: "1h", "30m", "24h").
repository_specific	-	Informações adicionais específicas do repositório.

vex-repo-spec

Mais Populares