vunnel

トンネル

さまざまなソースから脆弱性データを取得、変換、保存するためのツール。

サポートされているデータ ソース:

• アルパイン (https://secdb.alpinelinux.org)

• アマゾン (https://alas.aws.amazon.com/AL2/alas.rss & https://alas.aws.amazon.com/AL2022/alas.rss)

• Debian (https://security-tracker.debian.org/tracker/data/json および https://salsa.debian.org/security-tracker-team/security-tracker/raw/master/data/DSA/list)

• GitHub セキュリティ アドバイザリ (https://api.github.com/graphql)

• NVD (https://services.nvd.nist.gov/rest/json/cves/2.0)

• オラクル (https://linux.oracle.com/security/oval)

• RedHat (https://www.redhat.com/security/data/oval)

• SLES (https://ftp.suse.com/pub/projects/security/oval)

• Ubuntu (https://launchpad.net/ubuntu-cve-tracker)

• Wolfi (https://packages.wolfi.dev)

インストール

ピップの場合:

 pip インストール トンネル

ドッカーの場合:

ドッカーの実行 
  --rm -it 
  -v $(pwd)/データ:/データ 
  -v $(pwd)/.vunnel.yaml:/.vunnel.yaml 
    ghcr.io/anchore/vunnel:最新 
      NVDを実行する

どこ：

• dataボリュームは処理されたデータをホスト上に保持します

• .vunnel.yamlホスト アプリケーション構成を使用します (存在する場合)

• latestと特定のバージョンを交換できます (git タグと同じ)

使用可能なタグの完全なリストについては、vunnel パッケージを参照してください。

はじめる

利用可能な脆弱性データプロバイダーをリストします。

$ vunnel list

alpine
amazon
chainguard
debian
github
mariner
nvd
oracle
rhel
sles
ubuntu
wolfi

プロバイダーをダウンロードして処理します。

$ vunnel run wolfi

2023-01-04 13:42:58 root [INFO] running wolfi provider
2023-01-04 13:42:58 wolfi [INFO] downloading Wolfi secdb https://packages.wolfi.dev/os/security.json
2023-01-04 13:42:59 wolfi [INFO] wrote 56 entries
2023-01-04 13:42:59 wolfi [INFO] recording workspace state

処理された脆弱性データがローカルの./dataディレクトリに表示されます。

$ tree data

data
└── wolfi
    ├── checksums
    ├── metadata.json
    ├── input
    │   └── secdb
    │       └── os
    │           └── security.json
    └── results
        └── wolfi:rolling
            ├── CVE-2016-2781.json
            ├── CVE-2017-8806.json
            ├── CVE-2018-1000156.json
            └── ...

注: より詳細な出力を取得するには、 -v 、 -vv 、または-vvvを使用します (例: vunnel -vv run wolfi )。

1 つ以上のプロバイダーの既存の入力データと結果データを削除します。

$ vunnel clear wolfi

2023-01-04 13:48:31 root [INFO] clearing wolfi provider state

アプリケーションの動作を変更するための構成ファイルの例:

 # .vunnel.yamlroot: ./processed-datalog: レベル: トレースプロバイダー: wolfi: request_timeout: 125 ランタイム: 既存の入力: 既存の結果を維持: 書き込み前に削除 on_error: アクション: 入力失敗: 結果を保持: 再試行回数: 3 再試行遅延: 10

考えられるすべての構成オプションをよりよく理解するには、 vunnel configを使用します。

よくある質問

新しいプロバイダーを実装できますか?

はい、できます！詳細については、プロバイダーのドキュメントを参照してください。

なぜ「トンネル」と呼ばれるのですか？

このツールは、脆弱性データを 1 つの場所に「集めて」処理しやすくします。「脆弱性データ ファネル」と言うと 100 倍の速さで、最終的には「トンネル」になります :)。