اكتشف ثغرات المصادر المفتوحة
قبل أن تنفجر.
Open Source Component Analysis & Response
يجمع OSCAR قائمة SBOM (قائمة مكونات البرمجيات) مع كل عملية بناء، ويفحص باستمرار مكونات المصادر المفتوحة داخل خدماتك بحثًا عن الثغرات المعروفة. الواجهة بلغتك، ويمكنك سؤال الذكاء الاصطناعي بكلمات بسيطة — «ما المشاريع التي فيها ثغرات Critical؟» — والحصول على الإجابة.
المشاريع الأعلى خطرًا المكونات المعرّضة حسب الخطورة
اكتشافات جديدة آخر 12 أسبوعًا
- loan-batchCVE-2021-44228 · log4j-core 2.14.1Critical
- payment-apiCVE-2022-22965 · spring-beans 5.3.17Critical
لوحة المعلوماتمخاطر جميع المشاريع في شاشة واحدة
استعلام AIاسأل فقط — لا قوائم لتتعلّمها
هل تستطيع أن تقول الآن ما الذي بداخل خدماتك؟
عندما تظهر ثغرة في المصادر المفتوحة مثل Log4Shell، يكون السؤال الأول دائمًا: «هل نستخدمها؟» وبينما يبحث كل فريق في قوائم المكتبات يدويًا، يكون الوقت في صالح المهاجم. يُعِدّ OSCAR هذه الإجابة مسبقًا.
| المجال | حتى الآن | مع OSCAR |
|---|---|---|
| التكرار | مراجعة يدوية مرة في السنة — تمر الثغرات الجديدة بينهما دون أن يلاحظها أحد | تُرفع قائمة SBOM مع كل عملية بناء ويُعاد فحصها عند نشر ثغرات جديدة |
| الطريقة | يفحص الأشخاص قوائم المكتبات يدويًا — ومن السهل أن يفوتهم شيء | تطابق الآلة قائمة المكونات مع قواعد بيانات الثغرات (الاسم والإصدار والتجزئة) |
| زمن الاستجابة | أيام لمجرد التأكد من «هل نستخدم هذا؟» | العثور فورًا على كل المشاريع المتأثرة انطلاقًا من CVE واحدة |
| الواجهة | أدوات بالإنجليزية فقط يصعب على فرق الأعمال قراءتها | واجهة بلغتك؛ ونصوص التراخيص الكاملة تُعرض مع ترجمة بجانب الأصل |
| السؤال | تعلّم القوائم والمرشحات للحصول على الجدول الذي تحتاجه | اسأل الذكاء الاصطناعي بلغة بسيطة — و47 أداة تتولى البحث |
نظرة سريعة
العثور على الثغرات ليس إلا البداية: يجعلها OSCAR مقروءة، ويسجّل من رفع ماذا، ويتتبّع كيف دخل المكوّن. تستخدم الشاشات أدناه بيانات وهمية.
└ spring-boot-starter-log4j2
└ log4j-core 2.14.1
ما الذي يقدمه
يستخدم OSCAR محرك تحليل مفتوح المصدر مُجرَّبًا (OWASP Dependency-Track) دون تعديل، ويضيف حوله ما تحتاجه الفرق.
SBOM تلقائي — لثلاثة أنواع من البناء
إضافة pom لـ Maven، وسكربت رفع لـ npm، وأداة سطر الأوامر ssemsbom لمشاريع Ant أو المشاريع المبنية يدويًا دون pom.xml — تُرفع قائمة SBOM فور انتهاء البناء.
كشف مستمر
NVD وGitHub Advisory وOSV وSonatype OSS Index وTrivy معًا. وعند نشر ثغرة جديدة، يُعاد فحص قوائم المكونات الموجودة.
ذكاء اصطناعي باللغة الطبيعية (MCP)
47 أداة تغطي المشاريع والثغرات والمكونات والسياسات والتراخيص وقوائم SBOM، متاحة عبر MCP. اسأل من عميل ذكاء اصطناعي مثل Claude، أو من LLM داخلي.
واجهة بلغتك · ترجمة التراخيص
واجهة كورية جاهزة افتراضيًا، ونصوص تراخيص كاملة يترجمها LLM بجانب الأصل. اختر LLM داخليًا (Ollama أو LM Studio) أو Gemini.
سجل الرفع · وسوم قياسية
يسجّل من رفع كل SBOM ومتى ولأي مشروع. والوسوم القياسية — الفريق ونوع الخدمة والتقنية وأداة البناء وخادم التطبيقات — تجمع مئات المشاريع في مجموعات.
يتعرّف على ملفات JAR القديمة الفوضوية
ست خطوات — اسم الملف، وpom.properties، وMANIFEST، واستنتاج المجموعة، وVendor-Id، و(اختياريًا) البحث بالتجزئة في Maven Central — تستعيد الأسماء والإصدارات. وعند عدم اليقين، لا يخمّن.
كيف تستخدمه الفرق
لا أداة جديدة يتعلّمها المطورون: خطوة إضافية واحدة في البناء، والنتائج على الشاشة أو من الذكاء الاصطناعي.
التثبيت على خوادمك
يعمل محرك التحليل وقاعدة البيانات في Docker، وتعمل البوابة والواجهة على Tomcat 11. ويبقى كل شيء داخل شبكتك.
إضافة خطوة SBOM
إضافة في ملف pom، وسكربت لـ npm، وسطر ssemsbom واحد في بناء Ant. ومن ثم يرفع كل بناء تلقائيًا.
استقبال بيانات الثغرات
تُجلب قواعد بيانات الثغرات دوريًا. وفي الشبكة المعزولة لا تفتح إلا الاتجاه الوارد عبر جسر الشبكة.
شاهِد · اسأل · أصلِح
راقب المخاطر في لوحة المعلومات، واسأل الذكاء الاصطناعي عن الأثر، وسجّل حالة التحليل (قيد الفرز، غير متأثر).
آلية العمل
تمر كل المسارات عبر بوابة OSCAR واحدة. لا تستدعي الواجهة ولا عمليات البناء ولا الذكاء الاصطناعي محرك التحليل مباشرة، لذا تستطيع البوابة إضافة الترجمة والسجل — ويمكن ترقية المحرك دون المساس به.
- محرك التحليل لا يُعدَّل. يشغّل OSCAR الإصدار الرسمي من OWASP Dependency-Track ويغيّر الاستجابات في البوابة التي أمامه. ولا تمس ترقية المحرك OSCAR.
- تتم الترجمة في البوابة لا في الواجهة، لذا تتلقى الشاشة والذكاء الاصطناعي وعملاء API النص المترجم نفسه.
- يعمل خادم MCP على جهاز كل مستخدم، ويشغّله عميل الذكاء الاصطناعي، ويدخل إلى البوابة بمفتاح API صادر له. ولا يستطيع الذكاء الاصطناعي فعل إلا ما يسمح به ذلك المفتاح.
- الخط المتقطع وارد فقط. تتدفق بيانات الثغرات إلى المحرك؛ ولا تغادر قوائم مكوناتك شبكتك أبدًا.
Dependency-Track 4.13
مفتوح المصدر من OWASP · Docker. تحليل SBOM وتقييم الثغرات والسياسات والتراخيص.
Java 21 · Tomcat 11
تمرير الطلبات وترجمة التراخيص وسجل الرفع، مع تقديم الواجهة بلغتك.
خادم MCP · 47 أداة
ملف Java jar واحد عبر STDIO. يعمل مع Claude Desktop وClaude Code وعملاء MCP الآخرين.
CycloneDX 1.5 · PURL
المعيار الدولي لـ SBOM (ECMA-424). تُعرَّف المكونات عبر PURL وتُطابَق مع بيانات الثغرات.
مبادئ الأمان
يجب ألا تصبح أداة الأمان خطرًا جديدًا، لذلك رسمنا هذه الحدود أولًا.
- يُثبَّت على خوادمك — لا تُسلَّم قوائم المكونات والنتائج إلى سحابة خارجية.
- ما يُرفع هو قائمة مكونات (SBOM) وليس الشيفرة المصدرية — الأسماء والإصدارات والتجزئات فقط.
- الاتصال الخارجي الوحيد هو جلب بيانات الثغرات، مما يسهّل الموافقة في الشبكات المعزولة.
- مع LLM داخلي (Ollama أو LM Studio) لترجمة التراخيص، يبقى حتى النص المراد ترجمته في الداخل.
- الذكاء الاصطناعي يستدعي الأدوات فقط ولا يحكم من تلقاء نفسه — فالإجابات مستندة دائمًا إلى بيانات المحرك.
- يستخدم وصول الذكاء الاصطناعي مفتاح API مخصصًا ولا يمكنه تجاوز صلاحيات ذلك المفتاح (القراءة، الرفع، …).
- إذا فشلت الترجمة يظل النص الأصلي معروضًا — لا يختفي شيء بسبب الترجمة.
- المحرك مفتوح المصدر مُجرَّب ويُستخدم دون تعديل؛ ولا يضيف OSCAR أمامه إلا طبقة رقيقة.
المتطلبات
ما يحتاجه OSCAR ليعمل.
- Docker (محرك التحليل وPostgreSQL) وTomcat 11 (Java 21) على خوادمك. ويحتاج محرك التحليل إلى ذاكرة وفيرة (عدة غيغابايت أو أكثر).
- مسار وارد من الإنترنت لاستقبال بيانات الثغرات. وفي الشبكات المعزولة، اسمح فقط بالعناوين المطلوبة عبر جسر الشبكة.
- تُنتَج قوائم SBOM من عمليات البناء، لذا يجب أن تتمكن من إضافة خطوة SBOM إلى خطوط البناء لديك (Maven وnpm وAnt والبناء اليدوي).
- ملفات JAR التجارية أو الداخلية التي لا تحتوي على بيانات وصفية لا يمكن التعرف عليها، وقد تُستبعد من مطابقة الثغرات.
- تحتاج استعلامات الذكاء الاصطناعي إلى عميل يدعم MCP؛ ويجب أن تدعم نماذج LLM الداخلية استدعاء الأدوات.
- ترجمات التراخيص للاسترشاد فقط. وتستند القرارات القانونية إلى النص الأصلي.
هل تفكر في OSCAR؟
أخبرنا عن بيئتك — معزولة أم لا، وعدد المشاريع، وأدوات البناء — وسنخطط معك للإعداد والجدول الزمني.
تواصل مع المبيعات