SBOM, VEX, Provenance και Vulnerability Intelligence Pipelines — DedSec Project

Ελληνική έκδοση — Μάθημα 134. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Μετέτρεψε SBOM/VEX/provenance από inventory σε decision pipeline με component identity, exploitability context, reachability και policy gates.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το SBOM purpose and limitations και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το package identity and version matching και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το transitive dependencies και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το VEX status and justification και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το provenance linkage και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το vulnerability feeds and enrichment και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. SBOM purpose και limits

SBOM καταγράφει components και relationships και βοηθά inventory/response. Δεν αποδεικνύει από μόνο του security, exploitability, runtime reachability ή provenance του deployed artifact.

2. package identity και version

Component χρειάζεται unambiguous ecosystem/name/version ή package URL και provenance ώστε fork/vendored/rebuilt copies να μην μπερδεύονται. Κακή identity δημιουργεί false matches και blind spots.

3. transitive dependencies

Direct packages φέρνουν transitive dependencies. Inventory από resolved build/runtime graph πρέπει να ξεχωρίζει runtime, optional, test, build και bundled relationships.

4. VEX status και justification

VEX δηλώνει αν συγκεκριμένη vulnerability επηρεάζει συγκεκριμένο product. Status χρειάζεται evidence, scope, author/time και justification και πρέπει να επανεξετάζεται μετά από architecture/package changes.

5. provenance linkage

Σύνδεσε SBOM με verified build provenance για source, builder, inputs, parameters και artifact. Έτσι το IR μπορεί να απαντήσει ποιο build δημιούργησε το deployed binary.

6. vulnerability feeds

Advisories και package mappings αλλάζουν. Κράτησε feed source/time και επιβεβαίωσε high-impact matches με authoritative ecosystem/advisory data.

7. reachability και exposure

Presence ενός vulnerable library δεν σημαίνει πάντα reachable code path, αλλά reachability analysis έχει blind spots. Χρησιμοποίησέ το για prioritization και όχι σαν μόνιμη εξαίρεση remediation.

8. gates και exception lifecycle

CI/deploy gates πρέπει να ορίζουν block/warn/exception. Exception χρειάζεται owner, reason, compensating control, expiry και re-evaluation όταν αλλάζει environment ή exploitability.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Δημιούργησε μικρή απογραφή τύπου SBOM για τοπικό έργο Python με μεταδεδομένα δικών σου πακέτων.

• Εργαστήριο 2 — Για τρία υποθετικά CVE, γράψε τεκμηριωμένες αιτιολογήσεις VEX για επηρεαζόμενο, μη επηρεαζόμενο και υπό διερεύνηση λογισμικό.

• Εργαστήριο 3 — Σχεδίασε αλυσίδα που συνδέει commit πηγής, προέλευση build, artifact, SBOM και απογραφή εγκατάστασης.

Πλήρες αγγλικό μάθημα

English Module 134

Επόμενα μαθήματα

Σχετικά modules: 005, 022, 050, 084, 097, 098, 109. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.