Créer un scan avec un SBOM ou un Lockfile
Ce guide vous accompagne pas à pas dans le téléversement d'un Software Bill of Materials (SBOM) ou d'un fichier de verrouillage (lockfile) afin d'enrichir et d'affiner les résultats de scan de votre application. Un SBOM est un inventaire détaillé de l'ensemble des composants logiciels utilisés dans une application. Réaliser un scan avec un SBOM étend considérablement la détection des dépendances et de leurs vulnérabilités associées.
Étapes pour créer un scan
1. Cliquer sur « New Scan »
Commencez par cliquer sur l'icône New Scan dans la barre supérieure.
2. Sélectionner le type d'actif
Choisissez Android App ou iOS App selon la cible de votre scan. Les formats pris en charge sont .apk, .aab et .ipa.
3. Téléverser le fichier de l'application
Glissez-déposez le fichier de votre application dans la zone prévue à cet effet, ou cliquez sur cette zone pour sélectionner le fichier.
4. Cliquer sur « Continue »
Poursuivez en cliquant sur le bouton Continue. L'étape Extra Context qui suit est facultative : cliquez de nouveau sur Continue pour la passer.
5. Sélectionner votre profil de scan
Choisissez l'un des profils de scan, puis cliquez sur Continue :
- Fast Scan : Analyses statiques uniquement, ciblant les défauts de configuration, les dépendances obsolètes, les secrets exposés et les modèles de code vulnérables.
- Full Scan : Analyses statiques, dynamiques et vérifications de vulnérabilités backend.
- Privacy Scan : Identifie les risques liés à la confidentialité, notamment l'exposition de données sensibles et les mauvaises configurations.
- Mobile Deep Agentic Scan : Test d'intrusion propulsé par l'IA pour détecter les failles logiques complexes et valider les exploits.
- Mobile Single Vulnerability Assessment : Valide et confirme les vulnérabilités exploitables grâce à une validation ciblée.
- Mobile Shielding Scan : Évalue les protections d'obfuscation, d'anti-falsification, d'anti-débogage et de détection du root.
6. Téléverser le SBOM ou le fichier Lockfile
À l'étape SBOM Files, glissez-déposez votre SBOM ou votre fichier lockfile dans la zone de téléversement, ou cliquez sur cette zone pour sélectionner le fichier. Les fichiers pris en charge sont listés au-dessus de la zone de téléversement.
7. Configurer les étapes facultatives
Les étapes suivantes sont facultatives. Selon le profil, elles comprennent Test Credentials, Advanced Settings, Prompts, Custom Checks et Tags.
Remarque : La fonctionnalité d'agents de scan personnalisés peut ne pas être activée sur votre compte. Contactez le support pour en savoir plus sur l'activation d'agents personnalisés afin d'améliorer vos scans.
8. Lancer le scan
Cliquez sur Start scan dans le panneau récapitulatif à droite. Le Fast Scan dure environ 20 minutes.
9. Suivre le scan
Le message Scan created confirme la création du scan. Pour rouvrir le scan plus tard, cliquez sur l’icône Scans dans la barre supérieure et sélectionnez-le dans la liste.
10. Générer un fichier lockfile Gradle pour Android
Vérifiez si votre projet contient un fichier gradle.lockfile. S'il n'existe pas, suivez ces étapes pour le générer.
- Ajoutez les instructions suivantes à votre fichier
build.gradle.ktsoubuild.gradle:dependencyLocking { lockAllConfigurations() }
11. Générer le fichier lockfile Flutter
Vérifiez si votre projet contient un fichier pubspec.lock. S'il n'existe pas, vous pouvez le générer en exécutant flutter pub get.
12. Générer un SBOM pour Android, iOS ou Flutter
De nombreux outils de génération de SBOM sont disponibles pour simplifier l'inventaire exhaustif des composants d'une application. Nous allons utiliser Syft pour générer un SBOM pour notre application Android, iOS ou Flutter.
À la racine de votre projet, exécutez la commande syft . -o {file_format}, par exemple :
syft . -o spdx
Fichiers SBOM/Lockfiles pris en charge
SPDXCycloneDXgradle.lockfilepubspec.lockbuildscript-gradle.lockfilepnpm-lock.yamlpackage-lock.jsonpackages.lock.jsonpom.xmlGemfile.lockyarn.lockCargo.lockcomposer.lockconan.lockmix.lockgo.modrequirements.txtPipfile.lockpoetry.lock