Навыки sca-blackduck
📦

sca-blackduck

v0.1.0 Ревизия содержимого r2 Критично 📁 Доступ к файловой системе⚙️ Внешние команды🌐 Доступ к сети🔑 Переменные окружения⚡ Содержит скрипты

Сканирование зависимостей с Black Duck

Риски open source-зависимостей могут замедлять безопасные релизы. Этот навык помогает выполнять сканирования Black Duck, проверку лицензий, генерацию SBOM, интеграцию с CI и планирование исправлений.

Поддерживает: Claude Codex Code(CC)
⚠️ 38 Плохо

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента
Review the Skillstore skill "sca-blackduck" from https://skillstore.io/skills/agentsecops-sca-blackduck.md and its manifest at https://skillstore.io/api/skills/agentsecops-sca-blackduck/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/agentsecops-sca-blackduck.md Подписанный manifest GET /api/skills/agentsecops-sca-blackduck/manifest Подписанный lockfile GET /api/skills/agentsecops-sca-blackduck/lockfile

Протестировать

Использование «sca-blackduck». У сервиса есть критические CVE, неизвестный лицензионный риск и нет процесса SBOM.

Ожидаемый результат:

  • Приоритизированный список уязвимостей с немедленными исправлениями в первую очередь.
  • Очередь проверки лицензий для юридического или политического утверждения.
  • План генерации SBOM для подтверждения релиза.
  • Критерии повторного сканирования для подтверждения закрытия.

Использование «sca-blackduck». Команда хочет проверки Black Duck в pull requests.

Ожидаемый результат:

  • План CI job с безопасными ссылками на секреты.
  • Пороги политик для блокировки рискованных изменений.
  • Рекомендации по хранению артефактов и отчетов.
  • Формат комментария для разработчиков, позволяющий эффективно выполнить triage.

Использование «sca-blackduck». Релиз продукта включает новые open source-компоненты.

Ожидаемый результат:

  • Шаги проверки инвентаря зависимостей.
  • Заметки о совместимости лицензий для пакетов высокого риска.
  • Проверки состояния цепочки поставок для сопровождающих и активности.

Аудит безопасности

Критично
v9 • 23.07.2026 Открыть версионный отчет

Most static alerts are false positives caused by Markdown examples, reference URLs, configuration exclusions, and legitimate environment access. Confirmed findings involve unverified remote scripts executed by CI templates and user instructions. Additional review found mutable GitHub Action tags, unsafe Jenkins interpolation, and a pull request comment that reports fixed zero findings.

15
Просканировано файлов
4,881
Проанализировано строк
13
Пункты проверки
0
Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (5)

Критично
assets/ci_integration/github_actions.yml:70
Pipe to shell pattern
curl -s -L https://detect.synopsys.com/detect.sh | bash -- \
The CI template pipes a mutable network response directly into Bash without a pinned version or integrity check. A compromised upstream response would execute with runner privileges.
Критично
assets/ci-config-template.yml:240
Pipe to shell pattern
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The CI template pipes a mutable network response directly into Bash without a pinned version or integrity check. A compromised upstream response would execute with runner privileges.
Высокий
assets/ci_integration/github_actions.yml:113-125
Misleading fixed security results
The GitHub workflow posts zero vulnerability counts and no license violations without parsing results, which can mislead reviewers.
The comment body contains fixed zero counts and an unconditional no-violations statement. Nearby comments acknowledge that actual results are not parsed.
Высокий
assets/ci_integration/jenkins_pipeline.groovy:32-34assets/ci_integration/jenkins_pipeline.groovy:89-99assets/ci_integration/jenkins_pipeline.groovy:142-151
Jenkins shell injection and secret exposure
Groovy interpolates branch-derived values and Black Duck credentials into shell strings before execution, enabling command injection and exposing secrets in process arguments.
The double-quoted Groovy strings interpolate BRANCH_NAME-derived project data and BLACKDUCK_TOKEN into commands later passed to sh. No argument-safe execution boundary is used.
Средний
assets/ci_integration/github_actions.yml:31assets/ci_integration/github_actions.yml:39assets/ci_integration/github_actions.yml:57assets/ci_integration/github_actions.yml:81assets/ci_integration/github_actions.yml:101assets/ci_integration/github_actions.yml:143assets/ci_integration/github_actions.yml:148
Mutable GitHub Action references
GitHub Actions use mutable major-version tags, allowing upstream changes to execute with repository and token permissions.
Each uses statement ends in a mutable tag such as v1, v3, v4, or v7 rather than an immutable commit SHA.
Пункты проверки возможностей (13)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий
assets/ci_integration/github_actions.yml:70
Hardcoded URL
curl -s -L https://detect.synopsys.com/detect.sh | bash -- \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
assets/ci_integration/gitlab_ci.yml:30
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
assets/ci_integration/gitlab_ci.yml:85
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
assets/ci_integration/gitlab_ci.yml:181
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
assets/ci_integration/jenkins_pipeline.groovy:90
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
assets/ci_integration/jenkins_pipeline.groovy:143
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
assets/ci-config-template.yml:240
Hardcoded URL
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
SKILL.md:42
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
SKILL.md:53
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
SKILL.md:189
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
SKILL.md:280
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
SKILL.md:293
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
Высокий
SKILL.md:299
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.

Факторы риска

📁 Доступ к файловой системе (6)
assets/blackduck_config.yml:29 assets/blackduck_config.yml:33 assets/ci_integration/jenkins_pipeline.groovy:34 assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 assets/policy_templates/security_policy.json:154
⚙️ Внешние команды (50)
assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:92 assets/ci_integration/gitlab_ci.yml:121 assets/ci_integration/gitlab_ci.yml:151 assets/ci-config-template.yml:298 assets/ci-config-template.yml:301 assets/ci-config-template.yml:304 assets/ci-config-template.yml:307 assets/ci-config-template.yml:310 assets/ci-config-template.yml:134 assets/ci-config-template.yml:250 assets/ci-config-template.yml:291 references/supply_chain_threats.md:199 references/supply_chain_threats.md:204 references/supply_chain_threats.md:205 references/supply_chain_threats.md:200 references/supply_chain_threats.md:532 references/supply_chain_threats.md:205 references/supply_chain_threats.md:286 references/supply_chain_threats.md:335 references/supply_chain_threats.md:513 SKILL.md:40-47 SKILL.md:47-51 SKILL.md:51-57 SKILL.md:57-65 SKILL.md:65-79 SKILL.md:79-97 SKILL.md:97-151 SKILL.md:151-152 SKILL.md:152-153 SKILL.md:153-154 SKILL.md:154-158 SKILL.md:158-159 SKILL.md:159-160 SKILL.md:160-161 SKILL.md:161-165 SKILL.md:165-166 SKILL.md:166-167 SKILL.md:167-168 SKILL.md:168-169 SKILL.md:169-175 SKILL.md:175-183 SKILL.md:183-187 SKILL.md:187-194 SKILL.md:194-198 SKILL.md:198-205 SKILL.md:205-209 SKILL.md:209-216 SKILL.md:216-220
🌐 Доступ к сети (50)
assets/ci_integration/github_actions.yml:70 assets/ci_integration/gitlab_ci.yml:30 assets/ci_integration/gitlab_ci.yml:85 assets/ci_integration/gitlab_ci.yml:181 assets/ci_integration/jenkins_pipeline.groovy:90 assets/ci_integration/jenkins_pipeline.groovy:143 assets/ci-config-template.yml:240 assets/policy_templates/security_policy.json:2 assets/rule-template.yaml:43 assets/rule-template.yaml:44 assets/rule-template.yaml:45 assets/rule-template.yaml:73 assets/rule-template.yaml:118 assets/rule-template.yaml:119 assets/rule-template.yaml:151 assets/rule-template.yaml:191 assets/rule-template.yaml:192 assets/rule-template.yaml:193 assets/rule-template.yaml:217 assets/rule-template.yaml:260 assets/rule-template.yaml:261 assets/rule-template.yaml:288 references/license_risk_guide.md:361 references/remediation_strategies.md:209 references/remediation_strategies.md:301 references/remediation_strategies.md:302 references/supply_chain_threats.md:193 references/supply_chain_threats.md:62 references/supply_chain_threats.md:65 references/supply_chain_threats.md:66 references/supply_chain_threats.md:69 references/supply_chain_threats.md:75 references/supply_chain_threats.md:193 references/supply_chain_threats.md:200 references/supply_chain_threats.md:388 references/supply_chain_threats.md:412 references/supply_chain_threats.md:413 references/supply_chain_threats.md:518 SKILL.md:21 SKILL.md:22 SKILL.md:23 SKILL.md:24 SKILL.md:42 SKILL.md:53 SKILL.md:189 SKILL.md:280 SKILL.md:293 SKILL.md:299 SKILL.md:385 SKILL.md:386
🔑 Переменные окружения (37)
assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:41 assets/ci_integration/github_actions.yml:103 assets/ci-config-template.yml:164 assets/rule-template.yaml:148 assets/rule-template.yaml:148 assets/rule-template.yaml:147 assets/rule-template.yaml:162 assets/rule-template.yaml:132 assets/rule-template.yaml:147 assets/rule-template.yaml:148 assets/rule-template.yaml:156 assets/rule-template.yaml:157 assets/rule-template.yaml:162 assets/rule-template.yaml:163 assets/rule-template.yaml:164 assets/rule-template.yaml:165 references/EXAMPLE.md:423 references/EXAMPLE.md:423 references/EXAMPLE.md:424 references/EXAMPLE.md:425 references/EXAMPLE.md:427 references/EXAMPLE.md:430 references/EXAMPLE.md:432 references/EXAMPLE.md:437 references/EXAMPLE.md:444 references/supply_chain_threats.md:189 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191 references/supply_chain_threats.md:189 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191
⚡ Содержит скрипты (4)
references/EXAMPLE.md:138 references/EXAMPLE.md:137 references/remediation_strategies.md:249 references/supply_chain_threats.md:200

Обнаруженные паттерны

Pipe to shell pattern×2
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет
Оценка безопасности

Копировать ссылку на отчёт

https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-sca-blackduck/security.svg)](https://skillstore.io/skills/agentsecops-sca-blackduck?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/agentsecops-sca-blackduck?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sca-blackduck/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/agentsecops-sca-blackduck.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
Академические ссылки (APA · BibTeX · CFF)

Цитата APA

AgentSecOps. (2026). sca-blackduck security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9

Цитата BibTeX

@techreport{agentsecops-agentsecops-sca-blackduck-2026, author = {AgentSecOps}, title = {sca-blackduck security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9}, note = {Author version 0.1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "sca-blackduck security audit report (audit version 9)" version: "0.1.0" type: report authors: - name: "AgentSecOps" date-released: "2026-07-23" url: "https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9" identifiers: - type: other value: "skillstore:agentsecops-sca-blackduck:audit:9" description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний
59
Архитектура
100
Сопровождаемость
87
Контент
71
Сообщество
91
Соответствие спецификации

Что вы можете построить

Сортировка уязвимостей зависимостей

Просмотрите результаты Black Duck, сопоставьте CVE с категориями риска и расставьте приоритеты исправлений для критических зависимостей приложения.

Добавление SCA в CI

Адаптируйте шаблоны CI для запуска сканирований Black Duck, публикации артефактов и блокировки сборок при нарушениях политик.

Оценка лицензионного риска

Используйте рекомендации по лицензиям и примеры политик для классификации зависимостей перед утверждением релиза.

Попробуйте эти промпты

Начать план сканирования 
Помогите мне спланировать Black Duck SCA-сканирование для этого репозитория. Определите пакетные менеджеры, необходимые секреты, область сканирования и ожидаемые результаты.
Проверить результаты сканирования 
Проверьте эти результаты Black Duck. Расставьте приоритеты уязвимостей по серьезности, возможности эксплуатации, роли пакета и доступным исправленным версиям.
Спроектировать контроль в CI 
Создайте план контроля CI для Black Duck. Включите обработку секретов, артефакты отчетов, пороги отказа и обратную связь для разработчиков.
Построить дорожную карту исправлений 
Создайте дорожную карту исправлений на основе этих результатов SCA и проверки лицензий. Сгруппируйте исправления по зависимости, владельцу, риску, срокам и шагу проверки.

Лучшие практики

  • Храните учетные данные Black Duck в секретах CI или выделенном менеджере секретов.
  • Фиксируйте источники установщиков или проверяйте загруженные инструменты перед выполнением.
  • Документируйте принятый риск с указанием владельца, причины, даты истечения и компенсирующих мер контроля.

Избегать

  • Запуск удаленных установочных скриптов без фиксации версии или проверки checksum.
  • Отношение ко всем CVE как к одинаковым без учета возможности эксплуатации или runtime-контекста.
  • Утверждение copyleft-лицензий без проверки юридических и продуктовых последствий.

Часто задаваемые вопросы

Запускает ли этот навык сканирования Black Duck автоматически?
Нет. Он предоставляет рекомендации, примеры и шаблоны. Пользователь или агент должен выполнить команды сканирования.
Какие учетные данные требуются?
Для большинства рабочих процессов нужны Black Duck URL и API token, сохраненные как защищенные секреты.
Может ли он помочь с соответствием лицензиям?
Да. Он включает рекомендации по лицензионным рискам, примеры политик и рабочие процессы проверки для лицензий высокого риска.
Заменяет ли он юридическую проверку?
Нет. Он поддерживает triage и документацию, но существенные лицензионные обязательства должны определяться юристом.
Какие CI-системы поддерживаются?
Материалы включают примеры для GitHub Actions, GitLab CI и Jenkins pipelines.
Каких результатов должны ожидать команды?
Типичные результаты включают приоритеты уязвимостей, заметки о лицензионных рисках, рекомендации по SBOM и шаги исправления.

Сведения для разработчиков

Автор

AgentSecOps

Лицензия

MIT

Версия автора

v0.1.0

Ревизия Skillstore

r2

Репозиторий

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/sca-blackduck

Ссылка

181fdefcafd96b041926e61c4b2e306ca7e7820e

Актуальность поддержки

26.07.2026

Использование

6 загрузок · 261 просмотров

Структура файлов

📁 assets/

📄 .gitkeep

📄 blackduck_config.yml

📁 ci_integration/

📄 github_actions.yml

📄 gitlab_ci.yml

📄 jenkins_pipeline.groovy

📄 ci-config-template.yml

📁 policy_templates/

📄 security_policy.json

📄 rule-template.yaml

📁 references/

📄 cve_cwe_owasp_mapping.md

📄 EXAMPLE.md

📄 license_risk_guide.md

📄 remediation_strategies.md

📄 supply_chain_threats.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md

Больше от AgentSecOps

Показать все
📦

pytm

81

Создание моделей угроз pytm как кода

Моделирование угроз часто устаревает и теряет связь с изменениями архитектуры. Этот навык помогает создавать модели pytm, анализ STRIDE и рабочие процессы с диаграммами для проверок безопасности и CI.

Безопасность и соответствие требованиям Просмотр
📦

container-hadolint

72

Проверка Dockerfile-файлов с помощью Hadolint

В Dockerfile-файлах могут скрываться небезопасные пакеты, root-пользователи, слабые entrypoints и ошибки обработки секретов. Этот навык помогает выполнять проверки Hadolint, настраивать CI-гейты и планировать исправления до сборки образов.

Безопасность и соответствие требованиям Просмотр
📦

dast-nuclei

38

Запуск DAST-сканирований Nuclei

Ручные проверки уязвимостей пропускают известные CVE и проблемы конфигурации в веб-приложениях и API. Этот навык помогает планировать сканирования Nuclei, настраивать CI-процессы и анализировать результаты.

Безопасность и соответствие требованиям Просмотр
📦

sast-semgrep

38

Сканирование кода с помощью Semgrep SAST

Командам разработки нужен воспроизводимый статический анализ безопасности без создания правил с нуля. Этот навык помогает с запуском сканирований Semgrep, сопоставлением с OWASP и CWE, планированием исправлений и интеграцией с CI.

Безопасность и соответствие требованиям Просмотр
📦

sca-trivy

38

Сканирование контейнеров и зависимостей с помощью Trivy

Неизвестные CVE и ошибки конфигурации могут задерживать безопасные релизы. Этот навык помогает выполнять сканирования Trivy, создавать SBOM и расставлять приоритеты исправлений в распространенных рабочих процессах доставки.

Безопасность и соответствие требованиям Просмотр
📦

dast-zap

38

Сканирование веб-приложений с помощью OWASP ZAP

Тестирование веб-безопасности во время выполнения сложно стандартизировать между командами. Этот skill предоставляет рабочие процессы OWASP ZAP для авторизованных сканирований, тестирования API, аутентификации и отчетности в CI/CD.

Безопасность и соответствие требованиям Просмотр

Связанные навыки

Показать все
📦

codebase-cleanup-deps-audit

78

Аудит безопасности зависимостей и лицензионных рисков

от sickn33

Риски зависимостей сложно приоритизировать с учетом уязвимостей, лицензий, обновлений и сигналов цепочки поставок. Этот skill помогает Claude, Codex и Claude Code проводить структурированные аудиты и составлять планы устранения проблем.

Безопасность и соответствие требованиям Просмотр
📦

dependency-auditor

68

Аудит безопасности зависимостей

от CuriousLearner

Уязвимости зависимостей создают риски для релиза и повышают подверженность угрозам цепочки поставок. Этот навык помогает Claude, Codex и Claude Code проверять пакеты и планировать исправления.

Безопасность и соответствие требованиям Просмотр
📦

dependency-management-deps-audit

50

Аудит безопасности зависимостей и лицензий

от sickn33

Проблемы с зависимостями могут подвергать продукты уязвимостям, конфликтам лицензий и рискам цепочки поставок. Этот навык помогает Claude, Codex и Claude Code проводить аудиты, планировать обновления и готовить отчеты по устранению проблем.

Безопасность и соответствие требованиям Просмотр
📦

dependency-security

70

Аудит безопасности зависимостей и генерация SBOM

от Doyajin174

Обновления зависимостей могут добавлять уязвимые или ненадежные пакеты. Этот skill помогает проводить аудит, безопаснее обновлять зависимости, создавать SBOM и настраивать проверки в CI.

Безопасность и соответствие требованиям Просмотр
📦

security-scanning-security-dependencies

69

Сканирование рисков безопасности зависимостей

от sickn33

Уязвимости зависимостей и лицензионные риски сложно отслеживать в разных экосистемах. Этот навык помогает со сканированием, приоритизацией, созданием SBOM и планированием исправлений.

Безопасность и соответствие требованиям Просмотр