securecodebox/hook-persistence-dependencytrack

OWASP secureCodeBox Persistence Dependency-Track Hook 镜像

镜像概述

https://github.com/secureCodeBox/是一个自动化、可扩展的开源解决方案，用于通过简单轻量的界面集成各种安全漏洞扫描器。其使命是支持DevSecOps团队轻松实现不同场景下的安全漏洞测试自动化。

本hook镜像旨在与其他parser镜像配合使用，用于读取或操作扫描结果（findings）。具体而言，Persistence Dependency-Track Hook专注于将生成的CycloneDX SBOMs保存到配置的OWASP Dependency-Track实例中，其他类型的发现或SPDX SBOMs将被忽略。这一功能可实现基础设施的自动编目，帮助用户全面了解所使用的组件和依赖关系。

核心功能与特性

• SBOM保存：仅处理并保存CycloneDX格式的SBOMs到Dependency-Track实例，忽略其他类型的扫描结果和SPDX SBOMs
• 自动编目：支持基础设施组件和依赖的自动编目，提供全面的依赖关系 overview
• DevSecOps集成：可无缝集成到持续扫描流程中，助力早期发现依赖相关安全问题

使用场景

• 与https://www.securecodebox.io/docs/scanners/trivy-sbom配合，生成CycloneDX SBOMs后自动保存到Dependency-Track
• DevSecOps流程中持续监控软件供应链，跟踪组件依赖变化
• 安全团队需要集中管理和分析组织内所有项目的依赖组件安全状态

使用方法

拉取镜像

bash
docker pull docker.xuanyuan.run/securecodebox/hook-persistence-dependencytrack

配置要求

使用该Hook需预先配置OWASP Dependency-Track实例，并提供必要的访问参数（如API URL、API密钥等）。具体配置方式需参考secureCodeBox的Hook配置文档。

与扫描器配合使用

1. 使用Trivy-SBOM扫描器生成CycloneDX格式的SBOM：

   yaml
   # 示例扫描配置（Kubernetes环境）
   apiVersion: scanning.securecodebox.io/v1
   kind: Scan
   metadata:
     name: example-sbom-scan
   spec:
     scanner:
       name: trivy-sbom
       parameters:
         - --format
         - cyclonedx
         - --output
         - /output/sbom.cdx.json
         - your-target-image:latest
     hooks:
       - name: persistence-dependencytrack
   

2. 扫描完成后，Hook将自动读取CycloneDX SBOM并提交至配置的Dependency-Track实例

支持的标签

• latest：最新稳定版本构建
• 版本化标签，如 3.0.0, 2.9.0, 2.8.0, 2.7.0 等

社区支持

欢迎加入我们的社区：

• https://github.com/secureCodeBox/
• https://owasp.org/slack/invite
• ***

secureCodeBox是官方https://www.owasp.org/index.php/OWASP_secureCodeBox。

许可

与所有Docker镜像一样，本镜像可能包含其他软件，这些软件可能采用其他许可（如基础发行版中的Bash等，以及主要软件的任何直接或间接依赖项）。

对于任何预构建镜像的使用，镜像用户有责任确保对本镜像的任何使用均符合其中包含的所有软件的相关许可要求。