# analyzing-sbom-for-supply-chain-vulnerabilities

Разбирает SBOM в форматах CycloneDX и SPDX, сверяет компоненты с базой CVE через NVD 2.0 API и строит граф зависимостей. Пригодится, когда нужно оценить риски сторонних библиотек.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 444 установки · ★ 35034
- Автор: mukul975
- Лицензия: Apache-2.0 · policy=mirror · лицензия открытая, файл — в исходнике
- Исходник: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md
- Обновлён: 2026-08-31
- HTML: https://affpapa.org/nevibecode/skills/analyzing-sbom-for-supply-chain-vulnerabilities

## Что делает

Скилл читает файл SBOM в CycloneDX JSON (v1.4+) или SPDX JSON (v2.3+), вытаскивает компоненты с их PURL и CPE и ищет по ним известные уязвимости в NVD через API 2.0. Дальше строит ориентированный граф зависимостей на networkx и считает риск: за основу берётся максимальный CVSS по компоненту, к нему применяется коэффициент по числу зависимых пакетов. Уровни простые — CRITICAL от 9.0, HIGH от 7.0, MEDIUM от 4.0, остальное LOW.

Отдельный шаг — транзитивные зависимости. Уязвимость на четвёртом уровне вложенности всё равно остаётся риском, просто чинить её сложнее. Граф показывает, сколько компонентов зависит от пакета, насколько он близок к точке входа и через сколько путей проходит. Есть и перекрёстная проверка через grype: он сканирует тот же SBOM независимо, результаты сравниваются.

Заранее понадобится Python 3.9+ с библиотеками requests, networkx и packaging, а также ключ NVD API. Без ключа лимит — 5 запросов за 30 секунд, с ключом — 50. На большом SBOM разница ощутимая, так что ключ лучше получить сразу. Для генерации самого SBOM пригодится syft, если файла ещё нет. Скилл не для сканирования живых систем: тут работа идёт по файлу, а не по запущенному хосту.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-sbom-for-supply-chain-vulnerabilities -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/analyzing-sbom-for-supply-chain-vulnerabilities/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-sbom-for-supply-chain-vulnerabilities -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-sbom-for-supply-chain-vulnerabilities -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install mukul975/Anthropic-Cybersecurity-Skills analyzing-sbom-for-supply-chain-vulnerabilities
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-sbom-for-supply-chain-vulnerabilities -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/mukul975/Anthropic-Cybersecurity-Skills --path skills/analyzing-sbom-for-supply-chain-vulnerabilities
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-sbom-for-supply-chain-vulnerabilities -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md

## Когда брать
- разобрать SBOM от вендора и найти в нём уязвимые компоненты
- связать пакеты из CycloneDX или SPDX с записями CVE в NVD
- построить граф зависимостей и увидеть транзитивные пути до уязвимости
- посчитать риск компонента с учётом числа зависимых от него пакетов
- сверить результаты своего анализа с независимым сканом grype

## Примеры запросов агенту
- проанализируй sbom-cyclonedx.json и покажи компоненты с критичными CVE
- построй граф зависимостей из этого SPDX-файла и найди транзитивные уязвимости
- посчитай риск по SBOM и сравни с результатами grype

## Похожие
- [agent-supply-chain](https://affpapa.org/nevibecode/skills/agent-supply-chain.md) — скилл · 1100 установок
- [agentic-supply-chain-detection](https://affpapa.org/nevibecode/skills/agentic-supply-chain-detection.md) — скилл · ★ 7083
- [supply-chain-optimizer](https://affpapa.org/nevibecode/skills/supply-chain-optimizer.md) — скилл · 337 установок
- [oss-review](https://affpapa.org/nevibecode/skills/oss-review.md) — скилл · 606 установок
- [ci-cd-security](https://affpapa.org/nevibecode/skills/ci-cd-security.md) — скилл · 7900 установок
- [check-npm](https://affpapa.org/nevibecode/skills/check-npm.md) — скилл · 2800 установок

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md