SBOM-Verwaltung
SBOM-Verwaltung und Schwachstellenprüfung
Importieren Sie eine Software-Stückliste (SBOM) und verwalten Sie Komponenten, Versionen und Abhängigkeiten im Produktarbeitsbereich. Prüfen Sie Schwachstellenfunde im Kontext der Produktkonfiguration und dokumentieren Sie anschließend die Auswirkungen und den Umgang damit.
Das Komponentenverzeichnis pflegen
Import
Importieren Sie eine CycloneDX-Datei im JSON- oder XML-Format oder fügen Sie Komponenten direkt hinzu.
Komponenten und Abhängigkeiten
Pflegen Sie die Komponentenkennungen, Versionen und Abhängigkeitsbeziehungen des Produkts.
Schwachstellenprüfung
Prüfen Sie Treffer anhand der Komponentenidentität, des betroffenen Codes und der Produktkonfiguration.
Abhilfe
Dokumentieren Sie Korrekturen oder andere Maßnahmen und aktualisieren Sie anschließend das Verzeichnis und die Analyse für die betreffende Freigabe.
Import von Verzeichnissen
CycloneDX JSON und XML, Versionen 1.2–1.7
Export von Verzeichnissen
CycloneDX JSON und XML
Produktkontext
Komponentenaufzeichnungen und Abhängigkeitsbeziehungen
Schwachstellenbearbeitung
Funde, unterstützende Informationen und Behandlung
Bewerten, ob eine Schwachstelle das Produkt betrifft
Eine Übereinstimmung von Komponentenname und Version weist auf einen zu untersuchenden Fund hin. Für die Bewertung ist auch entscheidend, ob der betroffene Code enthalten ist, wie er verwendet wird und ob die Voraussetzungen für eine Ausnutzung im Produkt vorliegen.
Unterstützt der Verzeichnisimport auch SPDX?
Derzeit nicht. Das Komponentenverzeichnis importiert CycloneDX-Dateien im JSON- und XML-Format. Der Leitfaden zu SBOM-Formaten erläutert die Unterschiede zwischen SPDX und CycloneDX.
Beweist ein Schwachstellentreffer, dass das Produkt betroffen ist?
Nein. Prüfen Sie Komponentenidentität, Version, betroffenen Code und Betriebsbedingungen. Dokumentieren Sie die Gründe für die Bewertung, damit sie bei Produktänderungen erneut geprüft werden kann.
Können wir eine Beispieldatei ausprobieren?
Ja. Das Gateway-Beispiel enthält zwei herunterladbare CycloneDX-Verzeichnisse. Die fiktiven Komponenten veranschaulichen Dateiaufbau und Abhängigkeiten.
