FerroSCA

Servidor SBOM / SCA y de gestión de vulnerabilidades nativo en Rust. Ingiere SBOMs CycloneDX y SPDX, puntúa hallazgos con CVSS y EPSS, y sirve resultados mediante una REST API. Se ejecuta como un único proceso Rust — sin JVM, sin capa front-end separada, sin capa worker separada — arranca en menos de un segundo e integra el dashboard en el mismo binario. AMI Amazon Linux 2023 endurecida (arm64 / Graviton).

FerroSCA ingiere SBOMs CycloneDX 1.4 / 1.5 / 1.6 (JSON y XML) y SPDX 2.2 / 2.3, correlaciona los componentes con datos públicos de vulnerabilidades (NVD JSON 2.0, OSV, feeds públicos de avisos y el catálogo CISA KEV), puntúa hallazgos con CVSS v2 / v3 / v4 y EPSS, evalúa políticas y expone resultados mediante una REST API. Soporta identificadores Package URL 0.6 y CPE 2.3, matching consciente de distribución para imágenes base Alpine / Debian / Ubuntu, un motor de políticas con 30+ condiciones y detección de licencias SPDX. Las notificaciones van por Email y Webhook. La autenticación es usuario local (claves API SHA3-256), OIDC y LDAP (gated), con TLS mediante rustls y ACL por proyecto en mutaciones. La API es una REST API nativa de FerroSCA (estándar), más una edición opcional compatible a nivel wire con Dependency-Track REST API v1 (dtrack-compat) para migración. Alcance honesto: la Dependency-Track API tiene 100% de cobertura de rutas, pero alrededor de 69% de deep-schema (simetría de presencia, no fidelidad a nivel de campo) — nunca se comercializa como 100% wire-compatible ni drop-in; MySQL queda excluido, y la topología Marketplace soportada es de nodo único. Ingeniería: #![forbid(unsafe_code)] en cada crate, clippy limpio con -D warnings, sin unwrap() en código de producción, gate cargo deny, CycloneDX SBOM + self-VDR en CI y parsers probados con fuzzing.

Cómo funciona

1. 1

   Ingesta SBOM y los califica

   FerroSCA ingesta SBOM de CycloneDX 1.4 / 1.5 / 1.6 (JSON / XML) y SPDX 2.2 / 2.3, correlaciona componentes con NVD JSON 2.0, OSV, fuentes de avisos públicos y CISA KEV, y califica los hallazgos con CVSS v2 / v3 / v4 y EPSS. Admite identificadores Package URL 0.6 y CPE 2.3, y coincidencia adaptada a la distribución para Alpine / Debian / Ubuntu.

2. 2

   Sirve desde un único proceso

   Los resultados se sirven a través de una REST API y el dashboard está integrado en el mismo binario. Se ejecuta como un único proceso de Rust — sin JVM, sin capa de frontend independiente ni capa de workers independiente —, arranca en menos de un segundo y consume menos de unos 256 MB de RAM en reposo. Incluye un motor de políticas con más de 30 condiciones y detección de licencias SPDX.

3. 3

   API nativa + edición compatible con DT

   Por defecto, ofrece una REST API nativa de FerroSCA, y para facilitar la migración, puede optar por una edición compatible a nivel de protocolo con la REST API v1 de Dependency-Track (dtrack-compat). La autenticación admite usuario local (claves API SHA3-256), OIDC y LDAP (filtrado); TLS mediante rustls; ACL a nivel de proyecto para modificaciones; y notificaciones por Email y Webhook.

Características destacadas

Casos de uso

Preguntas frecuentes