FerroSCA

Ein Rust-nativer SBOM / SCA- und Vulnerability-Management-Server. Er nimmt CycloneDX- und SPDX-SBOMs auf, bewertet Findings mit CVSS und EPSS und stellt Ergebnisse über eine REST API bereit. Er läuft als einzelner Rust-Prozess — kein JVM, keine separate Front-end-Tier, keine separate Worker-Tier — startet in unter einer Sekunde und bettet sein Dashboard in dasselbe Binary ein. Gehärtete Amazon Linux 2023 AMI (arm64 / Graviton).

FerroSCA nimmt CycloneDX 1.4 / 1.5 / 1.6 (JSON und XML) sowie SPDX 2.2 / 2.3 SBOMs auf, korreliert die Komponenten mit öffentlichen Vulnerability-Daten (NVD JSON 2.0, OSV, öffentliche Advisory-Feeds und der CISA KEV-Katalog), bewertet Findings mit CVSS v2 / v3 / v4 und EPSS, evaluiert Policy und stellt Ergebnisse über eine REST API bereit. Es unterstützt Package URL 0.6- und CPE 2.3-Identifier, distro-aware Matching für Alpine / Debian / Ubuntu Base Images, eine Policy Engine mit 30+ Bedingungen und SPDX License Detection. Benachrichtigungen erfolgen über Email und Webhook. Authentifizierung umfasst Local-User (SHA3-256 API keys), OIDC und LDAP (gated), mit TLS über rustls und projektbezogener ACL auf Mutations. Die API ist eine FerroSCA-native REST API (Standard) plus eine opt-in Dependency-Track REST API v1 wire-kompatible Edition (dtrack-compat) für Migration. Ehrlicher Scope: Die Dependency-Track API hat 100% Path Coverage, aber etwa 69% Deep-Schema (Presence Symmetry, keine Field-Level Fidelity) — niemals als 100% wire-kompatibel oder Drop-in vermarktet; MySQL ist ausgeschlossen, und die unterstützte Marketplace-Topologie ist Single-Node. Engineering: #![forbid(unsafe_code)] in jeder Crate, clippy sauber bei -D warnings, kein unwrap() in Produktionscode, cargo deny Gate, CycloneDX SBOM + Self-VDR in CI und fuzz-getestete Parser.

Funktionsweise

1. 1

   Liest SBOMs ein und bewertet sie

   FerroSCA liest CycloneDX 1.4 / 1.5 / 1.6 (JSON / XML) und SPDX 2.2 / 2.3-SBOMs ein, korreliert Komponenten mit NVD JSON 2.0, OSV, öffentlichen Advisory-Feeds sowie CISA KEV und bewertet die Ergebnisse mit CVSS v2 / v3 / v4 und EPSS. Es unterstützt Package URL 0.6- und CPE 2.3-Identifikatoren sowie distributionsspezifisches Matching für Alpine / Debian / Ubuntu.

2. 2

   Aus einem einzigen Prozess bereitgestellt

   Ergebnisse werden über eine REST API bereitgestellt, und das Dashboard is im selben Binary eingebettet. Es läuft als einzelner Rust-Prozess — keine JVM, keine separate Frontend-Ebene, keine separate Worker-Ebene — startet in weniger als einer Sekunde und benötigt im Leerlauf weniger als ca. 256 MB RAM. Es enthält eine Policy-Engine mit 30+ Bedingungen und eine SPDX-Lizenzkennung.

3. 3

   Native API + eine DT-kompatible Edition

   Standardmäßig stellt es eine FerroSCA-native REST API bereit, und für die Migration können Sie eine mit der Dependency-Track REST API v1 wire-kompatible Edition (dtrack-compat) wählen. Die Authentifizierung erfolgt über lokale Benutzer (SHA3-256-API-Schlüssel), OIDC und LDAP (gated); TLS über rustls; ACL auf Projektebene bei Mutationen; Benachrichtigungen über E-Mail und Webhook.

Highlights

Anwendungsfälle

FAQ

Warum es günstiger ist

Annahme: SCA-Server, der täglich SBOMs (CycloneDX/SPDX) von 200 Repos einliest und mit CVSS/EPSS bewertet (us-east-1).

Illustratives Beispiel. OWASP Dependency-Track kombiniert BOM-Server, UI, Lucene-Index und externes PostgreSQL — ein JVM-schwerer Stack, dessen Minimum-Praxis-Deployment m5.xlarge + RDS db.t3.medium ist. FerroSCA ist ein Rust-Single-Process-Server mit eingebettetem Storage; eine DT-kompatible Edition ist ebenfalls verfügbar.