FerroSCA

Rust-native SBOM / SCA 및 vulnerability-management server입니다. CycloneDX 및 SPDX SBOM을 ingest하고, CVSS 및 EPSS로 finding을 score하며, REST API로 result를 제공합니다. 단일 Rust process로 실행됩니다 — JVM 없음, 별도 front-end tier 없음, 별도 worker tier 없음 — 1초 이내에 부팅되고 dashboard를 같은 binary에 embedded합니다. Hardened Amazon Linux 2023 AMI(arm64 / Graviton).

FerroSCA는 CycloneDX 1.4 / 1.5 / 1.6(JSON 및 XML)과 SPDX 2.2 / 2.3 SBOM을 ingest하고, component를 public vulnerability data(NVD JSON 2.0, OSV, public advisory feed, CISA KEV catalogue)와 correlate하며, CVSS v2 / v3 / v4 및 EPSS로 finding을 score하고, policy를 evaluate한 뒤 REST API로 result를 노출합니다. Package URL 0.6 및 CPE 2.3 identifier, Alpine / Debian / Ubuntu base image에 대한 distro-aware matching, 30+ condition을 갖춘 policy engine, SPDX license detection을 지원합니다. Notification은 Email 및 Webhook으로 전송됩니다. Authentication은 local-user(SHA3-256 API key), OIDC, LDAP(gated)이며, TLS는 rustls를 사용하고 mutation에는 project-level ACL이 적용됩니다. API는 기본 FerroSCA-native REST API(standard)에 더해, migration을 위한 opt-in Dependency-Track REST API v1 wire-compatible edition(dtrack-compat)을 제공합니다. Honest scope: Dependency-Track API는 100% path coverage이지만 deep-schema는 약 69%(field-level fidelity가 아니라 presence symmetry)입니다 — 100% wire-compatible 또는 drop-in으로 marketing하지 않습니다. MySQL은 제외되며, 지원되는 Marketplace topology는 single-node입니다. Engineering: 모든 crate에 #![forbid(unsafe_code)], clippy는 -D warnings에서 clean, production code에 unwrap() 없음, cargo deny gate, CI의 CycloneDX SBOM + self-VDR, fuzz-tested parser.

작동 원리

1. 1

   SBOM 수집 및 스코어링

   FerroSCA는 CycloneDX 1.4 / 1.5 / 1.6 (JSON / XML) 및 SPDX 2.2 / 2.3 SBOM을 수집하고, NVD JSON 2.0, OSV, 공개 권고 피드 및 CISA KEV를 기반으로 컴포넌트를 연관 분석하며, 발견된 항목을 CVSS v2 / v3 / v4 및 EPSS로 스코어링합니다. Package URL 0.6 및 CPE 2.3 식별자와 Alpine / Debian / Ubuntu에 대한 배포판 인식 매칭을 지원합니다.

2. 2

   단일 프로세스로 제공

   결과는 REST API를 통해 제공되며 대시보드는 동일한 바이너리에 내장되어 있습니다. JVM, 별도의 프론트엔드 계층, 별도의 워커 계층이 없는 단일 Rust 프로세스로 실행되며 — 1초 미만으로 부팅되고 약 256 MB 미만의 RAM을 점유하며 대기(idle)합니다. 30개 이상의 조건을 지원하는 정책 엔진과 SPDX 라이선스 탐지 기능을 포함합니다.

3. 3

   네이티브 API + DT 호환 에디션

   기본적으로 FerroSCA 네이티브 REST API를 제공하며, 마이그레이션을 위해 Dependency-Track REST API v1 와이어 호환 에디션(dtrack-compat)을 선택적으로 사용할 수 있습니다. 인증은 로컬 사용자(SHA3-256 API 키), OIDC 및 LDAP(게이트 제어)을 지원하며, TLS는 rustls를 통해 제공됩니다. 변경 작업에 대해 프로젝트 수준의 ACL이 적용되며, 알림은 Email 및 Webhook으로 전송됩니다.

주요 특징

주요 활용 사례

자주 묻는 질문

왜 더 저렴한가

us-east-1에서 200개 리포지토리의 SBOM(CycloneDX/SPDX)을 매일 수집하고 CVSS/EPSS로 평가하는 SCA 서버를 가정합니다.

참고용 예시입니다. OWASP Dependency-Track는 BOM 서버 + UI + Lucene 인덱스 + 외부 PostgreSQL의 JVM 무거운 스택으로, 최소 실용 배포로 m5.xlarge + RDS db.t3.medium을 사용했습니다. FerroSCA는 임베디드 스토리지를 가진 Rust 단일 프로세스 서버이며 Dependency-Track 호환 에디션도 제공합니다.