rm-miner v1.0.0

rm-miner v1.0.0

Primera versión estable e integrada de la solución de análisis de seguridad de repositorios.

Componentes incluidos

• Miner: obtiene repositorios de una organización, ejecuta CodeQL, genera SBOM CycloneDX con Syft y analiza vulnerabilidades con Grype.
• Analyzer: procesa los resultados mediante notebooks y genera datasets CSV y JSON.
• Visualizer: dashboard local para explorar los resultados generados por Analyzer.
• Reporter: produce un reporte de seguridad sobre el propio proyecto mediante una API compatible con Chat Completions.
• Dev Container: proporciona un entorno reproducible con todas las herramientas y dependencias necesarias.

Herramientas principales

• Python 3.12
• Node.js 22.23.3
• CodeQL 2.27.2
• Syft 1.54.1
• Grype 0.120.1
• Query packs de CodeQL para Python, JavaScript/TypeScript y Ruby

Ejecución

npx --yes @devcontainers/cli up --workspace-folder .
npx --yes @devcontainers/cli exec --workspace-folder . bash
Dentro del contenedor:
python -m pytest
npm --prefix visualizer test
npm --prefix visualizer run build
./scripts/run-delivery.sh TanStack 30

Validaciones

• 47 pruebas Python aprobadas.
• 15 pruebas del Visualizer aprobadas.
• Build de producción de Vite exitoso.
• Integración comprobada con CodeQL, Syft y Grype.
• Ejecución headless de Analyzer.
• Generación del reporte de seguridad comprobada.

Documentación

• Instrucciones de uso en README.md.
• Decisiones arquitectónicas en docs/design-decisions.md.
• Proceso de publicación en docs/delivery-process.md.

Evidencias

Los resultados de Miner, Analyzer y Reporter se publicarán por separado en Evidence v1.0.0.

rm-miner v0.1.0

rm-miner v0.1.0

Primera versión integrada de rm-miner, una solución para recopilar, analizar y visualizar información de seguridad de repositorios.

Componentes incluidos

• Miner: obtiene repositorios y genera resultados de análisis y SBOM.
• Analyzer: procesa y consolida evidencias de CodeQL, Grype y Syft.
• Visualizer: presenta localmente los resultados generados por Analyzer.
• Reporter: genera reportes de seguridad del proyecto.

Características principales

• Análisis de múltiples repositorios.
• Generación de inventarios SBOM.
• Consolidación de hallazgos de seguridad.
• Priorización y clasificación por severidad.
• Navegación independiente entre resumen, hallazgos, repositorios, SBOM y conclusiones.
• Procesamiento local de los archivos en el Visualizer, sin enviarlos a un servidor.
• Generación de reportes de seguridad.

Validación

• Pruebas de Miner aprobadas.
• Ejecución de Analyzer verificada.
• Pruebas y build del Visualizer aprobados.
• Funcionamiento de Reporter verificado.
• Integración completa validada localmente.

Evidence v1.0.0

Evidencias de rm-miner v1.0.0

Este release publica por separado los resultados generados por Miner, Analyzer y Reporter, además de sus metadatos de ejecución e integridad.

Alcance

• Organización analizada: TanStack
• Repositorios solicitados: 30
• Repositorios analizados: 29
• Repositorios no soportados: 1 (time)
• Estados de Miner, Analyzer y Reporter: 0

Miner

• 30 SBOM en formato CycloneDX
• 2.175 hallazgos producidos por CodeQL

Analyzer

• 5.186 detecciones de dependencias producidas por Grype
• 7.361 evidencias integradas
• 42.429 componentes SBOM
• 122.364 relaciones de dependencia
• Notebooks ejecutados sin errores

Las detecciones son evidencia para revisión y no implican por sí solas vulnerabilidades confirmadas.

Reporter

Reporte completo de cribado heurístico del propio proyecto, con 6 elementos de prioridad baja que requieren revisión manual.

Integridad y procedencia

Los 55 archivos incluidos en el manifiesto deliverables/metadata/SHA256SUMS fueron verificados correctamente.

La corrida se generó desde 0b0ed57ba5abf6d05800bed7f58607040f534513. El release de código v1.0.0 apunta a 1c54c3908f22b025ca7a68fccf936656aad489fc; entre ambos solo cambiaron números de versión en los manifiestos y lockfiles. No hubo cambios en la implementación de Miner, Analyzer o Reporter. La explicación completa está en deliverables/metadata/provenance.md.

Documentación

El afiche del proyecto está incluido en docs/afiche_octa_core.pdf. El README y la guía de entrega indican cómo localizar, verificar y visualizar los resultados.

Assets

• miner-v1.0.0.zip
• analyzer-v1.0.0.zip
• reporter-v1.0.0.zip
• metadata-v1.0.0.zip
• deliverables-v1.0.0.zip