./cra/sbom_watch
Monitor podatności w SBOM
Wrzuć SBOM wydania firmware. Każdy komponent sprawdzam w NVD i OSV pod kątem znanych podatności oraz na listach CISA i ENISA podatności wykorzystywanych w praktyce. Zapisz go w przeglądarce, a przy każdej wizycie sprawdzi się ponownie.
# odczyt w przeglądarce · nazwy, wersje i identyfikatory komponentów trafiają tylko bezpośrednio do NVD i OSV
man sbom_watch
Jak to działa
SBOM zostaje u ciebie
Plik jest odczytywany w przeglądarce. Nazwy, wersje i identyfikatory komponentów trafiają bezpośrednio do NVD i OSV, czyli tych samych publicznych baz, które przeszukałbyś ręcznie. Nic nie jest wysyłane na tę stronę.
Dwie listy wykorzystywanych podatności
Katalog Known Exploited Vulnerabilities od CISA i europejska baza podatności EUVD od ENISA są łączone i odświeżane co sześć godzin. Lista ENISA trafia do przeglądarki przez tę stronę, bo jej API nie pozwala na bezpośredni dostęp z przeglądarki.
Obserwowanie bez konta
Zapisz SBOM, a przy każdej wizycie w kilka sekund zostanie porównany z najnowszymi listami i zobaczysz, co zaczęło być wykorzystywane od ostatniego razu. Dodaj stronę do zakładek i otwieraj ją rano.
Wynik jest tak dobry jak SBOM
Dopasowanie działa po CPE i purl. Komponentów bez nich nie da się sprawdzić, a błędne CPE daje błędne wyniki. Generuj SBOM w procesie budowania, żeby identyfikatory pochodziły ze źródła.
Źródła: NVD CVE API 2.0, OSV.dev, katalog CISA Known Exploited Vulnerabilities, ENISA EUVD. To wskazówki inżynierskie, a nie porada prawna. This product uses data from the NVD API but is not endorsed or certified by the NVD.