El alcance con el SBOM

5 tareas · 50 min · Principiante

Simulacro, segunda lectura, 11:15. Ya sabes que una versión nueva del paquete calcruta, la 3.8.2, publicada la noche anterior, corrió un script de instalación en seis ejecuciones. Falta lo que importa a quien debe contener: qué está desplegado con esa versión. Tienes el acta, la lista de lo desplegado hoy con el SBOM que la cadena guardó con cada imagen y el resultado de buscar el componente en esos SBOM. Nadie te dice dónde mirar, y la consola solo lee. Acota el alcance sin dar nada por descartado que no puedas probar.

0 de 5 · 0%

Objetivo de la sala

Buscar el paquete en el archivo de dependencias de cada repositorio parece lo más rápido. Pero el archivo dice lo que el repositorio pide, no lo que se construyó, y cada repositorio lo lleva distinto. El SBOM se genera al construir la imagen y lista lo que de verdad quedó dentro.

Responde para continuar

¿Por qué se consulta el SBOM de cada despliegue y no solo el archivo de dependencias de cada repositorio?

Porque el SBOM refleja lo construido, incluida la dependencia que llega por otra librería, y el archivo solo dice lo que se pidió Porque el archivo de dependencias de un repositorio no se puede leer sin permisos de administrador sobre ese repositorio ni sobre el runner Porque el SBOM contiene las credenciales de cada servicio y por eso permite saber cuáles quedaron expuestas durante el incidente

El resultado de la búsqueda mezcla versiones y entornos. Cuenta por despliegue, es decir, cada fila de servicio y entorno, y cuenta solo los que llevan la versión publicada la noche anterior, la 3.8.2.

Responde para continuar

¿Cuántos despliegues, contando cada servicio y entorno, llevan la versión afectada?

No todo servicio afectado pide el paquete: uno lo recibe sin haberlo nombrado nunca, porque otra librería que sí pidió lo trae dentro. Es el que habría escapado a una búsqueda en su archivo de dependencias.

Responde para continuar

Escribe el nombre de la librería directa a través de la cual api-tarifas hereda el paquete afectado.

Un servicio aparece en el resultado y, aun así, no hay que contenerlo por esto. Descartar no es no mirar: es mirar y ver la versión.

Responde para continuar

Un servicio usa el paquete pero en la versión que no es la afectada. Escribe su nombre.

El resultado de una búsqueda solo vale para lo que tiene SBOM. Un servicio que no aparece puede no llevar el paquete o puede no tener lista alguna que lo diga. Lee la columna de la lista de lo desplegado.

Responde para continuar

Un despliegue de producción no se puede confirmar ni descartar con el SBOM. Escribe el nombre de su servicio.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Por qué el SBOM y no el archivo de dependencias Lab

2 Cuántos despliegues Lab

3 El que lo hereda Lab

4 El que se descarta con prueba Lab

5 El que no se puede descartar Lab

Whoami-Labs Pro utiliza cookies