Yazılım envanteri (SBOM): Syft, CycloneDX, Grype
Uygulama ve imajlarının içindekileri SBOM olarak çıkarır, bu listeyle yeni açıklara saniyeler içinde yanıt verir ve VEX ile hangi açığın seni etkilemediğini belgelersin.
Seviye 301 · 15 ders · 12 pratik lab
Dersler
SBOM nedir
- SBOM neden gerekli: yazılımın içindekiler etiketi
- Biçimler: CycloneDX ve SPDX
- SBOM alanları: bileşen, sürüm, purl, özet
- Dünyada SBOM şartları ve beklentileri
- Kısa görev: hazır bir SBOM’dan riskli bileşenleri çıkar
Üretmek
- Syft ile kaynak koddan SBOM
- Syft ile konteyner imajından SBOM
- Derlemede SBOM üretip imaja eklemek
- SBOM kalitesi: eksik ve hatalı bileşenler
- Kısa görev: bir imajın SBOM’unu yerel kayıt defterine ekle
Kullanmak
- Grype ile SBOM üzerinden açık taraması
- Yeni bir açık duyurulunca: hangi uygulamalar etkilendi
- VEX: “etkilenmiyoruz” demenin belgeli yolu
- SBOM deposu kurmak ve sorgulamak
- Bitirme görevi: on servisin envanterinde kritik bir açığı bir saatte izle
Pratik lablar
- Bir SBOM’daki bileşen alanlarını oku: CycloneDX dosyasında bir bileşenin adını, sürümünü, purl değerini ve özetini bul.
- Hazır SBOM’dan riskli bileşenleri ayıkla: jq ile bakımı durmuş, sürümü belirsiz ya da lisansı sorunlu bileşenleri süz.
- CycloneDX ve SPDX çıktılarını karşılaştır ve gereksinime göre seç: Aynı projenin iki biçimdeki SBOM’unu alan alan karşılaştır ve farklı ülkelerdeki müşteri beklentilerine göre hangisini teslim edeceğini gerekçelendir.
- Syft ile kaynak koddan SBOM üret: Proje dizininden CycloneDX biçiminde SBOM üret ve bileşen sayısını yaz.
- İmajın SBOM’unu üret ve yerel kayıt defterine ekle: Syft ile imajdan SBOM çıkar, imajın yanına yapıt olarak iliştir ve kayıt defterinden geri çek.
- SBOM’daki eksik ve hatalı bileşenleri bul ve düzelt: Elle kopyalanmış kitaplığın ve statik bağlanmış bileşenin SBOM’da görünmediğini göster, derleme zamanında üretime geçerek eksikleri kapat.
- Grype ile SBOM üzerinden açık taraması yap: SBOM dosyasını tara ve kritik bulguların bileşenlerini listele.
- Yeni duyurulan açıktan hangi uygulamaların etkilendiğini bul: Beş uygulamanın SBOM’unda etkilenen bileşeni ve sürüm aralığını ara ve etkilenenleri listele.
- Etkilenmeyen ürün için VEX belgesi yaz: Açık içeren kodun çağrılmadığını kanıtla, gerekçeli bir VEX belgesi üret ve taramanın bu bulguyu artık bastırdığını göster.
- SBOM dosyalarını ürün ve sürüme göre düzenle: On SBOM’u tutarlı bir adlandırma ile dizinlere yerleştir ve bir dizin dosyası oluştur.
- SBOM deposunu sorgulayan bir betik yaz: Verilen paket adı ve sürümü için onu içeren ürünleri listeleyen bir betik yaz.
- Kritik bir açığın on servisteki izini dakikalar içinde sür: Depoyu sorgula, etkilenen servisleri sürümleriyle çıkar, VEX durumlarını uygula ve sahiplerine gidecek listeyi üret.
Kurs hakkında
Uygulama ve imajlarının içindekileri SBOM olarak çıkarır, bu listeyle yeni açıklara saniyeler içinde yanıt verir ve VEX ile hangi açığın seni etkilemediğini belgelersin.
Ne öğreneceksin
- SBOM nedir
- Üretmek
- Kullanmak
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.