Gestione delle SBOM
Gestione delle SBOM e revisione delle vulnerabilità
Importa una distinta base del software (SBOM) e mantieni componenti, versioni e dipendenze nell’area di lavoro del prodotto. Esamina le vulnerabilità individuate rispetto alla configurazione del prodotto, quindi registra l’impatto e la risposta adottata.
Manutenzione dell’inventario dei componenti
Importazione
Importa un file CycloneDX JSON o XML oppure aggiungi direttamente i componenti.
Componenti e dipendenze
Mantieni gli identificativi, le versioni e le relazioni di dipendenza dei componenti utilizzati nel prodotto.
Revisione delle vulnerabilità
Verifica le corrispondenze considerando l’identità del componente, il codice interessato e la configurazione del prodotto.
Correzione
Registra le correzioni o le altre misure, quindi aggiorna l’inventario e l’analisi per il rilascio.
Importazione dell’inventario
CycloneDX JSON e XML, versioni 1.2–1.7
Esportazione dell’inventario
CycloneDX JSON e XML
Contesto del prodotto
Registrazioni dei componenti e relazioni di dipendenza
Gestione delle vulnerabilità
Rilievi, informazioni a supporto e trattamento
Valuta se una vulnerabilità interessa il prodotto
La corrispondenza tra nome e versione di un componente individua un rilievo da esaminare. Per la valutazione occorre anche verificare se il codice interessato è presente, come viene utilizzato e se nel prodotto sussistono le condizioni necessarie allo sfruttamento.
L’importazione dell’inventario supporta SPDX?
Al momento no. L’inventario dei componenti può essere importato in formato CycloneDX JSON o XML. La guida ai formati SBOM spiega le differenze tra SPDX e CycloneDX.
La corrispondenza con una vulnerabilità prova che il prodotto è interessato?
No. Verifica l’identità e la versione del componente, il codice interessato e le condizioni operative. Registra le motivazioni della decisione sull’impatto, così da poterla riesaminare quando il prodotto cambia.
È disponibile un file di esempio?
Sì. L’esempio del gateway offre due inventari CycloneDX scaricabili. I componenti fittizi illustrano la struttura del file e le dipendenze.
