BOM View

Uma aplicação web estática e simples para exibir dependências de software a partir de arquivos de Lista de Materiais de Software (SBOM). Por ser um site estático, pode ser facilmente hospedado em qualquer serviço de hospedagem estática, como GitLab Pages, GitHub Pages ou Netlify.

Funcionalidades

• Visualizador de SBOM: Exibe componentes de SBOMs CycloneDX/SPDX JSON em uma tabela clara e pesquisável.
• Carregamento Dinâmico: Adicione e exiba SBOMs sem reconstruir o site.
• Varredura de Vulnerabilidades Sob Demanda: Analise pacotes individuais ou um SBOM inteiro em busca de vulnerabilidades conhecidas usando a base de dados osv.dev. Além disso, o BOM View pode exibir vulnerabilidades já incluídas ("incorporadas") em SBOMs CycloneDX gerados por ferramentas como Grype ou Trivy.
  • Exemplos de geração de SBOMs com vulnerabilidades:
    • Trivy: trivy image <image> --format=cyclonedx --output=sbom.json --scanners vuln
    • Grype: grype <image> --output cyclonedx-json > sbom.json
  • Nota: Esta funcionalidade é atualmente suportada apenas para SBOMs CycloneDX.
• OpenSSF Scorecards: Enriquece os dados do pacote com pontuações de segurança do OpenSSF Scorecard, fornecendo insights sobre a postura de segurança da cadeia de suprimentos.

Formatos Suportados

Atualmente, o BOM View suporta os formatos CycloneDX e SPDX em JSON. Eles podem ser gerados por ferramentas como syft.

Adicionando SBOMs ao Seu Site

Esta aplicação foi projetada para carregar SBOMs dinamicamente em tempo de execução. Para adicionar seus próprios SBOMs, você não precisa reconstruir o projeto. Siga estas etapas no diretório raiz do seu site estático implantado (por exemplo, a pasta dist ou public servida pelo seu job de páginas).

1. Crie o diretório sboms: Se ainda não existir, crie um diretório chamado sboms.

2. Adicione seus SBOMs: Copie seus arquivos CycloneDX/SPDX JSON para o diretório sboms.

3. Atualize o Arquivo de Índice: Crie ou atualize um arquivo chamado index.json dentro do diretório sboms. Este arquivo informa à aplicação quais SBOMs estão disponíveis. Deve conter um único array JSON de strings, onde cada string é o nome de um arquivo SBOM nesse diretório.

   Por exemplo, se você tiver my-app.json e another-lib.json, o arquivo index.json deve ser assim:

   root@kitploit:~

   [
     "my-app.json",
     "another-lib.json"
   ]
   

A aplicação então buscará o index.json para preencher o menu suspenso de seleção de SBOM e carregará o arquivo correspondente quando selecionado.

Exemplo de CI/CD do GitLab Pages

Abaixo está um exemplo de configuração .gitlab-ci.yml que busca uma release pré-construída, extrai SBOMs e cria dinamicamente o index.json para implantação.

stages:
  - sbom
  - deploy

create_sbom:
  stage: sbom
  image: alpine:3.23.2
  before_script:
    - apk add syft
  script:
    - mkdir sboms
    - syft alpine:3.19 -o cyclonedx-json=sboms/alpine-cyclone.json
  artifacts:
    paths:
      - sboms

pages:
  stage: deploy
  image: alpine:3.23.2
  before_script:
    - apk add curl jq
  script:
    - curl -L https://github.com/hristiy4n/bom-view/releases/download/v0.4.0/bom-view-v0.4.0-dist.tar.gz | tar zx
    - mv dist public
    - mkdir public/sboms
    - cp sboms/* public/sboms
    - |
      find sboms -maxdepth 1 -type f -name '*.json' ! -name 'index.json' \
      | sed 's|.*/||' \
      | sort \
      | jq -R . | jq -s . > public/sboms/index.json
  needs:
    - job: create_sbom
  artifacts:
    paths:
      - public

Você pode ver um exemplo ao vivo desta configuração em ação aqui: https://security-dashboard-a9b4f8.gitlab.io/

Estrutura de Diretórios Necessária

Seu diretório final de implantação deve ter a seguinte estrutura:

dist/
├── assets/
│   └── ... (CSS and JS files)
├── index.html
└── sboms/
    ├── index.json
    ├── sbom1.json
    ├── sbom2.json
    └── ...