ndaal SBOM Auditor

Um aplicação web offline de binário único para investigar ficheiros SBOM (Software Bill of Materials). Carregue um SBOM ou importe uma pasta deles, analise cada um com um conjunto de ferramentas independentes, reveja os resultados normalizados numa única UI local e exporte o resultado em oito formatos. Sem instalação, sem acesso à rede, sem telemetria.

English · Deutsch · Français · Español · Italiano

O que faz

1. Ingestão — carregue um SBOM no navegador, ou importe todos os SBOM numa pasta configurável. CycloneDX (JSON/XML), SPDX (JSON/tag-value e 3.0 JSON-LD) e syft-json são detetados; os ficheiros são sujeitos a hash de conteúdo e desduplicados.
2. Análise — execute as ferramentas ativadas contra o SBOM, cada uma como um subprocesso isolado sob um prazo e um limite de concorrência. Uma ferramenta em falta é um skip visivelmente distinto; uma ferramenta instalada que não consegue iniciar ou não responde dentro de 15 segundos é uma failure que indica o motivo. Nenhum dos casos é alguma vez reportado como um resultado limpo.
3. Resultados — a saída de cada ferramenta é normalizada para uma forma comum, com o alias CVE resolvido a partir do identificador GHSA/OSV da ferramenta, e mostrada por ferramenta com distintivos de severidade.
4. Pontuação — classifique o SBOM em relação a todos os dezassete elementos mínimos CISA 2026, distinguindo um NOASSERTION explícito de um fornecedor de um campo que está simplesmente ausente.
5. Pesquisa — descubra quais dos seus SBOM declaram um determinado componente, em todo o corpus, por nome ou package URL.
6. Exportação — escreva a análise como SARIF 2.1, SARIF 2.2, Markdown, ODT, DOCX, PDF e avisos CSAF 2.1 / 2.2. Export persiste os formatos selecionados no diretório de exportação do servidor, cada um acompanhado por cinco sidecars de hash criptográfico; Start download renderiza os mesmos formatos em memória e transmite-os para o navegador — um documento, ou um pacote ZIP para vários — sem escrever nada no disco.

Painel de SBOM armazenados

A página inicial (/) lista todos os SBOM armazenados e mantém-se utilizável à medida que o corpus cresce:

• Paginado — 25 linhas por página, com uma legenda "Showing X–Y of N" e controlos Previous / Page / Next.
• Colunas ordenáveis — clique no cabeçalho Name, Format ou Components para ordenar por ele; clique novamente no cabeçalho para inverter a direção.
• Carregamento mais recente primeiro — a lista abre com o SBOM carregado mais recentemente, com o seu tempo na coluna Last uploaded. Carregar um SBOM que já está armazenado move-o de volta para o topo; a sua página de detalhe mantém o tempo Ingested original ao lado de Last uploaded.
• Filtro de formato — restrinja a lista a um formato (CycloneDX JSON/XML, SPDX JSON, SPDX 3.0 JSON, SPDX tag-value, Syft JSON ou Unknown); um botão Reset limpa os filtros mantendo a ordenação atual.
• Coluna de severidade — uma coluna mais à direita, depois de Last uploaded, mostra a única severidade de resultado mais alta de cada SBOM (Critical, High, Medium, Low ou Negligible), ou "—" quando ainda não tem resultados, com um filtro de severidade correspondente.
• Pesquisa de texto integral — uma caixa de pesquisa, suportada por um índice de texto integral tantivy, corresponde ao nome, formato e versão de especificação de um SBOM, bem como aos nomes e package URLs dos componentes que contém, pelo que uma consulta como log4j ou openssl encontra todos os SBOM que incluem esse componente. A consulta tem limite de comprimento e é analisada de forma tolerante.

Pesquisa de componentes

/components responde à pergunta inversa — quais dos meus SBOM declaram este componente — em todo o corpus de uma só vez, por nome de componente ou package URL exato. Lê um índice de componentes dedicado construído na ingestão, separado do índice de texto integral do painel.

Como um índice desatualizado faria com que um SBOM genuinamente afetado fosse lido como "não afetado", a página indica quantos SBOM ainda não estão indexados e oferece Rebuild index, que volta a analisar os bytes retidos exatamente para esses. Uma pesquisa só está completa quando esse aviso desaparece.

"Indexed" significa que o índice foi construído, o que não é o mesmo que "produziu linhas": um SBOM apenas de metadados não declara componentes, pelo que não contribui com nenhum e ainda assim está totalmente indexado. O armazenamento regista o facto de indexação por SBOM (schema v8, components_indexed_at) em vez de o inferir a partir da existência de linhas — inferi-lo significava que um SBOM sem componentes nunca poderia sair do conjunto "not yet indexed", pelo que o aviso sobrevivia a cada reconstrução e o botão reportava os mesmos SBOM como recém-indexados para sempre. A atualização migra automaticamente e preenche tudo o que já tinha linhas; uma reconstrução resolve o restante.

Conjunto de analisadores

Cada ferramenta é opcional em tempo de execução e detetada no PATH (substitua o binário com SBA_TOOL_<NAME>_BIN). Os resultados nunca dependem de uma única ferramenta. Antes de cada análise, a ferramenta é iniciada uma vez com o seu argumento de versão: sem binário significa skip (not found on PATH), enquanto um binário que não consegue iniciar, ou que não dá resposta dentro de 15 segundos, significa fail com esse motivo.

Ferramenta	Função	Verificada contra
syft	Normalizador de SBOM / conversor CycloneDX 1.6	1.52.0
grype	Correspondência de CVE	0.119.0
trivy	Scanner de vulnerabilidades	0.74.0
osv-scanner	Consultas à base de dados OSV	2.4.0, 2.6.0
bomber	Correspondência independente em conjunto	0.5.1
bomdrift	Deriva da cadeia de fornecimento / typosquat (SARIF)	0.9.9
inspektr	Scanner de vulnerabilidades de SBOM (JSON)	0.1.9
shieldbom	Scanner CVE offline para embedded/IoT (SARIF)	0.3.0
provenant	Licença / direitos de autor / proveniência (ScanCode)	1.0.10

"Verificada contra" é a versão com que cada invocação foi efetivamente exercitada, não um mínimo nem um pin: as ferramentas são resolvidas no PATH em tempo de execução e qualquer versão compatível funciona. O osv-scanner lista duas porque a 2.6.0 foi reverificada depois de a linha 2.x ter alterado o seu logging — a forma documentada scan --lockfile <input> --format json mantém-se inalterada e continua a sair com código não-zero quando há resultados, pelo que não foi necessária qualquer alteração de código.