Creación de un análisis con un SBOM o archivo Lock
Esta guía le mostrará el proceso para cargar un Software Bill of Materials (SBOM) o un archivo de bloqueo (lockfile) para mejorar los hallazgos del análisis de su aplicación. Un SBOM es una lista detallada de todos los componentes utilizados en una aplicación. Realizar un análisis con un SBOM amplía la detección de dependencias.
Pasos para crear un análisis
1. Haga clic en "New Scan"
Comience haciendo clic en el icono New Scan en la barra superior.
2. Seleccione el tipo de activo
Elija Android App o iOS App según el objetivo del análisis. Los formatos compatibles son .apk, .aab y .ipa.
3. Cargue el archivo de la aplicación
Arrastre y suelte el archivo de la aplicación en el área designada, o haga clic en ella para seleccionar el archivo.
4. Haga clic en "Continue"
Continúe haciendo clic en el botón Continue. El paso Extra Context que sigue es opcional: haga clic de nuevo en Continue para omitirlo.
5. Seleccione su perfil de análisis
Elija uno de los perfiles de análisis y, a continuación, haga clic en Continue:
- Fast Scan: Comprobaciones exclusivamente estáticas, tales como problemas de configuración, dependencias desactualizadas, secretos y patrones de código vulnerables.
- Full Scan: Comprobaciones estáticas, dinámicas y de vulnerabilidades en el backend.
- Privacy Scan: Identifica riesgos de privacidad, incluidos datos confidenciales expuestos y errores de configuración.
- Mobile Deep Agentic Scan: Pruebas de penetración impulsadas por IA para fallas lógicas complejas y validación de exploits.
- Mobile Single Vulnerability Assessment: Valida y confirma vulnerabilidades explotables mediante una validación dirigida.
- Mobile Shielding Scan: Evalúa las protecciones de ofuscación, antimanipulación, antidepuración y detección de root.
6. Cargue el SBOM o archivo Lock
En el paso SBOM Files, arrastre y suelte su SBOM o archivo lockfile en el área de carga, o haga clic en ella para seleccionar el archivo. Los archivos compatibles se indican encima del área de carga.
7. Configure los pasos opcionales
Los pasos siguientes son opcionales. Según el perfil, incluyen Test Credentials, Advanced Settings, Prompts, Custom Checks y Tags.
Nota: Es posible que la función de agentes de análisis personalizados no esté habilitada para su cuenta. Póngase en contacto con el soporte técnico para obtener detalles sobre la activación de agentes personalizados para mejorar sus análisis.
8. Inicie el análisis
Haga clic en Start scan en el panel de resumen de la derecha. El Fast Scan tarda unos 20 minutos.
9. Siga el análisis
El mensaje Scan created confirma la creación del análisis. Para volver a abrir el análisis más tarde, haga clic en el icono Scans de la barra superior y selecciónelo en la lista.
10. Generar un archivo lockfile de Gradle para Android
Verifique si en su proyecto existe un archivo gradle.lockfile. Si no existe, siga estos pasos para generarlo.
- Añada lo siguiente a su archivo
build.gradle.ktsobuild.gradle:dependencyLocking { lockAllConfigurations() }
11. Generar el archivo lockfile de Flutter
Verifique si en su proyecto existe un archivo pubspec.lock. Si no existe, puede generarlo ejecutando flutter pub get.
12. Generar un SBOM para Android, iOS o Flutter
Existen numerosas herramientas de generación de SBOM disponibles que simplifican el proceso de listar todos los componentes de una aplicación. Vamos a utilizar Syft para generar un SBOM para nuestra aplicación Android, iOS o Flutter.
En la raíz de su proyecto, escriba syft . -o {file_format}, por ejemplo:
syft . -o spdx
Archivos SBOM/Lock compatibles
SPDXCycloneDXgradle.lockfilepubspec.lockbuildscript-gradle.lockfilepnpm-lock.yamlpackage-lock.jsonpackages.lock.jsonpom.xmlGemfile.lockyarn.lockCargo.lockcomposer.lockconan.lockmix.lockgo.modrequirements.txtPipfile.lockpoetry.lock