Gestión de SBOM
Gestión de SBOM y revisión de vulnerabilidades
Importe una lista de materiales de software y mantenga los componentes, las versiones y las dependencias en el espacio de trabajo del producto. Revise los hallazgos de vulnerabilidades en relación con la configuración del producto y, después, registre su impacto y la respuesta.
Mantenimiento del inventario de componentes
Importación
Importe un archivo CycloneDX en formato JSON o XML, o añada componentes directamente.
Componentes y dependencias
Mantenga los identificadores, las versiones y las relaciones de dependencia de los componentes utilizados por el producto.
Revisión de vulnerabilidades
Compruebe las coincidencias teniendo en cuenta la identidad del componente, el código afectado y la configuración del producto.
Corrección
Registre las correcciones u otras medidas y, después, actualice el inventario y el análisis de la versión.
Importación del inventario
CycloneDX en formato JSON y XML, versiones 1.2–1.7
Exportación del inventario
CycloneDX en formato JSON y XML
Contexto del producto
Registros de componentes y relaciones de dependencia
Gestión de vulnerabilidades
Hallazgos, información de apoyo y tratamiento
Evaluación de si una vulnerabilidad afecta al producto
La coincidencia del nombre y la versión de un componente identifica un hallazgo que debe investigarse. La evaluación también depende de si el código afectado está incluido, de cómo se utiliza y de si se dan en el producto las condiciones para explotar la vulnerabilidad.
¿El importador de inventarios admite SPDX?
Por ahora, no. El inventario de componentes admite la importación de archivos CycloneDX en formato JSON y XML. La guía de formatos de SBOM explica las diferencias entre SPDX y CycloneDX.
¿La coincidencia con una vulnerabilidad demuestra que el producto está afectado?
No. Compruebe la identidad del componente, la versión, el código afectado y las condiciones de funcionamiento. Registre los motivos de la decisión sobre el impacto para que pueda revisarse cuando cambie el producto.
¿Podemos probar un archivo de ejemplo?
Sí. El ejemplo de la pasarela incluye dos inventarios CycloneDX descargables. Sus componentes ficticios ilustran la estructura del archivo y sus dependencias.
