SBOM管理

SBOM管理と脆弱性レビュー

ソフトウェア部品表をインポートし、製品ワークスペースでコンポーネント、バージョンおよび依存関係を管理します。製品構成に照らして脆弱性の検出結果をレビューし、影響と対応を記録します。

コンポーネント一覧の維持

CycloneDXのJSONまたはXMLファイルをインポートするか、コンポーネントを直接追加します。

製品で使用するコンポーネント識別子、バージョンおよび依存関係を管理します。

コンポーネントの識別情報、影響を受けるコードおよび製品構成に照らして、一致した結果を確認します。

修正その他の対策を記録し、リリースに合わせて一覧と分析を更新します。

一覧のインポート

CycloneDX JSONおよびXML（バージョン1.2～1.7）

一覧のエクスポート

CycloneDX JSONおよびXML

製品情報

コンポーネント記録と依存関係

脆弱性対応

検出結果、関連情報および対応

コンポーネント名とバージョンが一致した場合は、調査対象となる検出結果が特定されます。影響を受けるコードが含まれているか、その使用方法、および製品で悪用条件が成立するかも評価に影響します。

現時点では対応していません。コンポーネント一覧はCycloneDXのJSONおよびXMLをインポートできます。SBOM形式ガイドでは、SPDXとCycloneDXの違いを説明しています。

いいえ。コンポーネントの識別情報、バージョン、影響を受けるコードおよび運用条件を確認してください。製品変更時に再レビューできるよう、影響判断の根拠を記録してください。

はい。ゲートウェイの例には、ダウンロード可能なCycloneDX一覧が2つ含まれています。架空のコンポーネントを使って、ファイル構造と依存関係を示しています。