FerroSCA

Um servidor SBOM / SCA e de gerenciamento de vulnerabilidades nativo em Rust. Ele ingere SBOMs CycloneDX e SPDX, pontua findings com CVSS e EPSS e serve resultados por uma REST API. Roda como um único processo Rust — sem JVM, sem camada de front-end separada, sem camada de worker separada — inicia em menos de um segundo e embute seu dashboard no mesmo binário. AMI Amazon Linux 2023 hardened (arm64 / Graviton).

FerroSCA ingere SBOMs CycloneDX 1.4 / 1.5 / 1.6 (JSON e XML) e SPDX 2.2 / 2.3, correlaciona os componentes com dados públicos de vulnerabilidades (NVD JSON 2.0, OSV, feeds públicos de advisories e o catálogo CISA KEV), pontua findings com CVSS v2 / v3 / v4 e EPSS, avalia políticas e expõe resultados por uma REST API. Ele dá suporte a identificadores Package URL 0.6 e CPE 2.3, matching ciente de distro para imagens base Alpine / Debian / Ubuntu, um policy engine com 30+ condições e detecção de licenças SPDX. Notificações vão por Email e Webhook. A autenticação é por usuário local (chaves de API SHA3-256), OIDC e LDAP (gated), com TLS via rustls e ACL em nível de projeto para mutações. A API é uma REST API nativa do FerroSCA (padrão), mais uma edição opt-in compatível no wire protocol com Dependency-Track REST API v1 (dtrack-compat) para migração. Escopo honesto: a Dependency-Track API tem 100% de cobertura de paths, mas cerca de 69% de deep-schema (simetria de presença, não fidelidade em nível de campo) — nunca é comercializada como 100% wire-compatible ou drop-in; MySQL é excluído, e a topologia Marketplace suportada é single-node. Engenharia: #![forbid(unsafe_code)] em todos os crates, clippy limpo com -D warnings, sem unwrap() em código de produção, gate cargo deny, CycloneDX SBOM + self-VDR no CI e parsers testados com fuzzing.

Como funciona

1. 1

   Ingere SBOMs e calcula suas pontuações

   O FerroSCA ingere SBOMs CycloneDX 1.4 / 1.5 / 1.6 (JSON / XML) e SPDX 2.2 / 2.3, correlaciona componentes com NVD JSON 2.0, OSV, feeds de avisos públicos e CISA KEV, e atribui pontuações aos resultados com CVSS v2 / v3 / v4 e EPSS. Ele oferece suporte a identificadores Package URL 0.6 e CPE 2.3, e correspondência inteligente com as distribuições Alpine / Debian / Ubuntu.

2. 2

   Servido a partir de um único processo

   Os resultados são servidos por meio de uma REST API e o dashboard está incorporado no mesmo binário. Ele funciona como um único processo Rust — sem JVM, sem camada de front-end separada, sem camada de worker separada —, inicia em menos de um segundo e consome cerca de 256 MB de RAM quando ocioso. Inclui um mecanismo de políticas com mais de 30 condições e detecção de licenças SPDX.

3. 3

   API nativa + edição compatível com DT

   Por padrão, ele serve uma REST API nativa do FerroSCA e, para migração, você pode optar por uma edição compatível a nível de protocolo com a REST API v1 do Dependency-Track (dtrack-compat). A autenticação é por usuário local (chaves de API SHA3-256), OIDC e LDAP (controlada); TLS via rustls; ACL em nível de projeto para mutações; notificações por Email e Webhook.

Destaques

Casos de uso

FAQ