ndaal SBOM Auditor

Однобинарное офлайн веб-приложение для исследования файлов SBOM (Software Bill of Materials). Загрузите SBOM или импортируйте папку с ними, проанализируйте каждый с помощью ансамбля независимых инструментов, просмотрите нормализованные результаты в одном локальном интерфейсе и экспортируйте результат в восьми форматах. Без установки, без сетевого доступа, без телеметрии.

English · Deutsch · Français · Español · Italiano

Что он делает

1. Приём — загрузите SBOM в браузере или импортируйте все SBOM из настраиваемой папки. Обнаруживаются CycloneDX (JSON/XML), SPDX (JSON/tag-value и 3.0 JSON-LD) и syft-json; файлы хешируются по содержимому и дедуплицируются.
2. Анализ — запустите включённые инструменты против SBOM, каждый как изолированный подпроцесс с ограничением по времени и лимитом параллелизма. Отсутствующий инструмент — это явно различимый пропуск; установленный инструмент, который не может запуститься или не отвечает в течение 15 секунд, — это сбой, указывающий причину. Ни то, ни другое никогда не сообщается как чистый результат.
3. Находки — вывод каждого инструмента нормализуется к общей форме, с разрешением псевдонима CVE из идентификатора GHSA/OSV инструмента, и отображается по инструментам со значками серьёзности.
4. Оценка — оцените SBOM по всем семнадцати минимальным элементам CISA 2026, отличая явное NOASSERTION поставщика от поля, которое просто отсутствует.
5. Поиск — найдите, какие из ваших SBOM объявляют данный компонент, по всему корпусу, по имени или package URL.
6. Экспорт — запишите анализ как SARIF 2.1, SARIF 2.2, Markdown, ODT, DOCX, PDF и бюллетени CSAF 2.1 / 2.2. Export сохраняет выбранные форматы в серверный каталог экспорта, каждый в сопровождении пяти криптографических хеш-сайдкаров; Start download отображает те же форматы в памяти и передаёт их в браузер — один документ или ZIP-архив для нескольких — ничего не записывая на диск.

Панель сохранённых SBOM

Домашняя страница (/) перечисляет каждый сохранённый SBOM и остаётся удобной по мере роста корпуса:

• Постранично — 25 строк на страницу, с подписью "Showing X–Y of N" и элементами управления Previous / Page / Next.
• Сортируемые столбцы — щёлкните заголовок Name, Format или Components, чтобы отсортировать по нему; щёлкните заголовок снова, чтобы изменить направление.
• Сначала новые загрузки — список открывается самым недавно загруженным SBOM, его время в столбце Last uploaded. Загрузка SBOM, который уже сохранён, перемещает его обратно наверх; его страница сведений сохраняет исходное время Ingested рядом с Last uploaded.
• Фильтр формата — сузьте список до одного формата (CycloneDX JSON/XML, SPDX JSON, SPDX 3.0 JSON, SPDX tag-value, Syft JSON или Unknown); кнопка Reset очищает фильтры, сохраняя текущую сортировку.
• Столбец серьёзности — крайний правый столбец, после Last uploaded, показывает единственную наивысшую серьёзность находки каждого SBOM (Critical, High, Medium, Low или Negligible) или "—", когда находок ещё нет, с соответствующим фильтром серьёзности.
• Полнотекстовый поиск — поле поиска, опирающееся на полнотекстовый индекс tantivy, сопоставляет имя SBOM, формат и версию спецификации, а также имена и package URL содержащихся в нём компонентов, так что запрос вроде log4j или openssl находит каждый SBOM, содержащий этот компонент. Запрос ограничен по длине и разбирается снисходительно.

Поиск компонентов

/components отвечает на обратный вопрос — какие из моих SBOM объявляют этот компонент — по всему корпусу сразу, по имени компонента или точному package URL. Он читает выделенный индекс компонентов, построенный при приёме, отдельный от полнотекстового индекса панели.

Поскольку устаревший индекс заставил бы действительно затронутый SBOM читаться как "не затронут", страница сообщает, сколько SBOM ещё не проиндексировано, и предлагает Rebuild index, который повторно разбирает сохранённые байты именно для них. Поиск завершён только тогда, когда это предупреждение исчезло.

"Проиндексирован" означает, что индекс был построен, что не то же самое, что "породил строки": SBOM только с метаданными не объявляет компонентов, поэтому он не вносит ни одного и всё равно полностью проиндексирован. Хранилище фиксирует факт индексации для каждого SBOM (схема v8, components_indexed_at), а не выводит его из наличия строк — вывод означал бы, что SBOM без компонентов никогда не покинет множество "ещё не проиндексировано", так что предупреждение переживало каждую перестройку, а кнопка сообщала бы об одних и тех же SBOM как о заново проиндексированных вечно. Обновление мигрирует автоматически и заполняет всё, что уже имело строки; одна перестройка улаживает остаток.

Ансамбль анализаторов

Каждый инструмент необязателен во время выполнения и обнаруживается в PATH (переопределите бинарник через SBA_TOOL_<NAME>_BIN). Находки никогда не зависят от какого-либо одного инструмента. Перед каждым сканированием инструмент запускается один раз со своим аргументом версии: отсутствие бинарника означает skip (not found on PATH), тогда как бинарник, который не может запуститься или не даёт ответа в течение 15 секунд, означает fail с этой причиной.

Инструмент	Роль	Проверено на
syft	Нормализатор SBOM / конвертер CycloneDX 1.6	1.52.0
grype	Сопоставитель CVE	0.119.0
trivy	Сканер уязвимостей	0.74.0
osv-scanner	Поиск в базе OSV	2.4.0, 2.6.0
bomber	Независимый сопоставитель ансамбля	0.5.1
bomdrift	Дрейф цепочки поставок / тайпсквоттинг (SARIF)	0.9.9
inspektr	Сканер уязвимостей SBOM (JSON)	0.1.9
shieldbom	Офлайн-сканер CVE для встраиваемых/IoT (SARIF)	0.3.0
provenant	Лицензии / авторские права / происхождение (ScanCode)	1.0.10

"Проверено на" — это версия, с которой фактически выполнялся каждый вызов, не минимум и не фиксация: инструменты разрешаются в PATH во время выполнения, и любая совместимая версия работает. osv-scanner указан дважды, потому что 2.6.0 был перепроверен после того, как линия 2.x изменила своё логирование — документированная форма scan --lockfile <input> --format json не изменилась и по-прежнему завершается с ненулевым кодом при находках, так что изменение кода не потребовалось.

Первые восемь инструментов дают находки об уязвимостях в форме CVE; provenant отличается — он сообщает о происхождении лицензии, авторских прав, правообладателя и автора, которые аудитор сохраняет и отображает как собственную форму находки (раздел "Licence & provenance" для каждого запуска, включаемый в экспорт Markdown), а не отбрасывает.