FerroSCA

Rust製の SBOM / SCA・脆弱性管理サーバ。CycloneDX と SPDX の SBOM を取り込み、CVSS と EPSS で所見をスコアリングして REST API で結果を提供します。JVMも別フロントエンド層も別ワーカー層もない単一のRustプロセスとして動き、1秒未満で起動し、ダッシュボードを同じバイナリに同梱。ハードニング済みの Amazon Linux 2023 AMI(arm64 / Graviton)。

FerroSCA は、CycloneDX 1.4 / 1.5 / 1.6(JSON / XML)と SPDX 2.2 / 2.3 の SBOM を取り込み、公開脆弱性データ(NVD JSON 2.0、OSV、公開アドバイザリフィード、CISA KEV カタログ)と突き合わせ、CVSS v2 / v3 / v4 と EPSS でスコアリングし、ポリシーを評価して結果を REST API で公開します。Package URL 0.6 と CPE 2.3 の識別子、Alpine / Debian / Ubuntu ベースイメージのディストロ対応マッチング、30以上の条件を持つポリシーエンジン、SPDX ライセンス検出を備えます。通知は Email と Webhook。認証はローカルユーザ(SHA3-256 APIキー)・OIDC・LDAP(ゲート付き)、TLS は rustls、変更操作にはプロジェクト単位の ACL。API は FerroSCA ネイティブ REST API(標準)に加え、移行用にオプトインの Dependency-Track REST API v1 ワイヤ互換エディション(dtrack-compat)を提供します。正直なスコープ: Dependency-Track API はパス網羅100%・ディープスキーマ約69%(項目単位の完全一致ではなく存在対称性)で、「100% ワイヤ互換 / ドロップイン」とは謳いません。MySQL は対象外、サポートされる Marketplace 構成は単一ノードです。エンジニアリング: 全クレートで #![forbid(unsafe_code)]、clippy は -D warnings でクリーン、本番コードに unwrap() なし、cargo deny ゲート、CI で CycloneDX SBOM + 自己 VDR、ファズテスト済みパーサ。

仕組み

1. 1

   SBOM を取り込みスコアリング

   FerroSCA は CycloneDX 1.4 / 1.5 / 1.6(JSON / XML)と SPDX 2.2 / 2.3 の SBOM を取り込み、コンポーネントを NVD JSON 2.0・OSV・公開アドバイザリフィード・CISA KEV と突き合わせ、CVSS v2 / v3 / v4 と EPSS でスコアリングします。Package URL 0.6 と CPE 2.3 の識別子、Alpine / Debian / Ubuntu のディストロ対応マッチングに対応します。

2. 2

   単一プロセスで提供

   結果は REST API で公開され、ダッシュボードは同じバイナリに同梱されます。JVMも別フロントエンド層も別ワーカー層もない単一の Rust プロセスとして動き、1秒未満で起動し、約256MB未満のRAMでアイドルします。30以上の条件を持つポリシーエンジンと SPDX ライセンス検出を備えます。

3. 3

   ネイティブ API + DT 互換エディション

   標準では FerroSCA ネイティブの REST API を提供し、移行用にオプトインの Dependency-Track REST API v1 ワイヤ互換エディション(dtrack-compat)も選べます。認証はローカルユーザ(SHA3-256 APIキー)・OIDC・LDAP(ゲート付き)、TLS は rustls、変更操作にはプロジェクト単位の ACL。通知は Email と Webhook です。

特長

こんな用途に

よくある質問