vunnel

terowongan

Alat untuk mengambil, mengubah, dan menyimpan data kerentanan dari berbagai sumber.

Sumber data yang didukung:

• Alpen (https://secdb.alpinelinux.org)

• Amazon (https://alas.aws.amazon.com/AL2/alas.rss & https://alas.aws.amazon.com/AL2022/alas.rss)

• Debian (https://security-tracker.debian.org/tracker/data/json & https://salsa.debian.org/security-tracker-team/security-tracker/raw/master/data/DSA/list)

• Saran Keamanan GitHub (https://api.github.com/graphql)

• NVD (https://services.nvd.nist.gov/rest/json/cves/2.0)

• Oracle (https://linux.Oracle.com/security/oval)

• RedHat (https://www.redhat.com/security/data/oval)

• SLES (https://ftp.suse.com/pub/projects/security/oval)

• Ubuntu (https://launchpad.net/ubuntu-cve-tracker)

• Wolfi (https://packages.wolfi.dev)

Instalasi

Dengan pip:

 pip instal vunnel

Dengan buruh pelabuhan:

 menjalankan buruh pelabuhan 
  --rm -itu 
  -v $(pwd)/data:/data 
  -v $(pwd)/.vunnel.yaml:/.vunnel.yaml 
    ghcr.io/anchore/vunnel: terbaru 
      jalankan nvd

Di mana:

• volume data menyimpan data yang diproses di host

• .vunnel.yaml menggunakan konfigurasi aplikasi host (jika ada)

• Anda dapat menukar latest untuk versi tertentu (sama seperti tag git)

Lihat paket vunnel untuk daftar lengkap tag yang tersedia.

Memulai

Daftar penyedia data kerentanan yang tersedia:

$ vunnel list

alpine
amazon
chainguard
debian
github
mariner
nvd
oracle
rhel
sles
ubuntu
wolfi

Unduh dan proses penyedia:

$ vunnel run wolfi

2023-01-04 13:42:58 root [INFO] running wolfi provider
2023-01-04 13:42:58 wolfi [INFO] downloading Wolfi secdb https://packages.wolfi.dev/os/security.json
2023-01-04 13:42:59 wolfi [INFO] wrote 56 entries
2023-01-04 13:42:59 wolfi [INFO] recording workspace state

Anda akan melihat data kerentanan yang diproses di direktori ./data lokal

$ tree data

data
└── wolfi
    ├── checksums
    ├── metadata.json
    ├── input
    │   └── secdb
    │       └── os
    │           └── security.json
    └── results
        └── wolfi:rolling
            ├── CVE-2016-2781.json
            ├── CVE-2017-8806.json
            ├── CVE-2018-1000156.json
            └── ...

Catatan: untuk mendapatkan keluaran yang lebih panjang, gunakan -v , -vv , atau -vvv (misalnya vunnel -vv run wolfi )

Hapus data masukan dan hasil yang ada untuk satu atau beberapa penyedia:

$ vunnel clear wolfi

2023-01-04 13:48:31 root [INFO] clearing wolfi provider state

Contoh file konfigurasi untuk mengubah perilaku aplikasi:

 # .vunnel.yamlroot: ./processed-datalog: level: traceproviders: wolfi: request_timeout: 125 runtime: eksisting_input: pertahankan hasil_yang ada: hapus-sebelum-tulis on_error: tindakan: input gagal: pertahankan hasil: pertahankan retry_count: 3 retry_delay: 10

Gunakan vunnel config untuk mendapatkan gambaran yang lebih baik tentang semua opsi konfigurasi yang mungkin.

Pertanyaan Umum

Bisakah saya menerapkan penyedia baru?

Ya, kamu bisa! Lihat dokumen penyedia untuk informasi lebih lanjut.

Mengapa disebut "vunnel"?

Alat ini "menyalurkan" data kerentanan ke dalam satu tempat agar mudah diproses... katakanlah "saluran data kerentanan" 100x cukup cepat dan pada akhirnya akan menjadi "vunnel" :).