Gestion des SBOM
Gestion des SBOM et examen des vulnérabilités
Importez une nomenclature logicielle (SBOM) et tenez à jour les composants, les versions et les dépendances dans l’espace de travail du produit. Examinez les vulnérabilités détectées au regard de la configuration du produit, puis consignez leur impact et la réponse apportée.
Tenir à jour l’inventaire des composants
Importation
Importez un fichier JSON ou XML CycloneDX, ou ajoutez directement des composants.
Composants et dépendances
Tenez à jour les identifiants, les versions et les relations de dépendance des composants utilisés par le produit.
Examen des vulnérabilités
Vérifiez les correspondances en tenant compte de l’identité du composant, du code concerné et de la configuration du produit.
Remédiation
Consignez les corrections ou les autres mesures, puis mettez à jour l’inventaire et l’analyse pour la version concernée.
Import d’inventaire
CycloneDX JSON et XML, versions 1.2 à 1.7
Export d’inventaire
CycloneDX JSON et XML
Contexte produit
Enregistrements des composants et relations de dépendance
Traitement des vulnérabilités
Résultats, informations justificatives et mesures
Évaluer si une vulnérabilité affecte le produit
Une correspondance fondée sur le nom et la version d’un composant constitue un résultat à examiner. L’évaluation dépend aussi de la présence du code concerné, de son utilisation et de l’existence, dans le produit, des conditions nécessaires à l’exploitation.
L’importateur d’inventaire prend-il en charge SPDX ?
Pas pour le moment. L’inventaire des composants importe les formats JSON et XML CycloneDX. Le guide des formats SBOM explique les différences entre SPDX et CycloneDX.
Une correspondance entre un composant et une vulnérabilité prouve-t-elle que le produit est affecté ?
Non. Vérifiez l’identité du composant, sa version, le code concerné et les conditions d’exploitation. Consignez les motifs de la décision d’impact afin qu’elle puisse être réexaminée en cas d’évolution du produit.
Pouvons-nous essayer un fichier d’exemple ?
Oui. L’exemple de passerelle comprend deux inventaires CycloneDX téléchargeables. Les composants fictifs illustrent la structure du fichier et les dépendances.
