SBOM-beheer
SBOM-beheer en kwetsbaarheidsbeoordeling
Importeer een softwarecomponentenlijst (SBOM) en houd componenten, versies en afhankelijkheden bij in de productwerkruimte. Beoordeel kwetsbaarheidsbevindingen in relatie tot de productconfiguratie en leg daarna de impact en respons vast.
De componentinventaris onderhouden
Importeren
Importeer een CycloneDX-bestand in JSON of XML, of voeg componenten rechtstreeks toe.
Componenten en afhankelijkheden
Houd de component-ID's, versies en afhankelijkheidsrelaties bij die het product gebruikt.
Kwetsbaarheidsbeoordeling
Controleer overeenkomsten op basis van de componentidentiteit, getroffen code en productconfiguratie.
Herstel
Leg oplossingen of andere maatregelen vast en werk daarna de inventaris en analyse voor de release bij.
Inventaris importeren
CycloneDX JSON en XML, versies 1.2–1.7
Inventaris exporteren
CycloneDX JSON en XML
Productcontext
Componentregistraties en afhankelijkheidsrelaties
Werk rond kwetsbaarheden
Bevindingen, ondersteunende informatie en behandeling
Beoordelen of een kwetsbaarheid het product raakt
Een overeenkomst op componentnaam en versie geeft aan welke bevinding moet worden onderzocht. De beoordeling hangt ook af van de vraag of de getroffen code is opgenomen, hoe deze wordt gebruikt en of de voorwaarden voor misbruik in het product aanwezig zijn.
Ondersteunt de inventarisimporteur SPDX?
Op dit moment niet. De componentinventaris importeert CycloneDX JSON en XML. De gids over SBOM-formaten licht de verschillen tussen SPDX en CycloneDX toe.
Bewijst een kwetsbaarheidsovereenkomst dat het product is getroffen?
Nee. Controleer de componentidentiteit, versie, getroffen code en gebruiksomstandigheden. Leg de redenen voor de impactbeslissing vast, zodat deze opnieuw kan worden beoordeeld wanneer het product verandert.
Kunnen we een voorbeeldbestand proberen?
Ja. Het gatewayvoorbeeld bevat twee downloadbare CycloneDX-inventarissen. De fictieve componenten laten de bestandsstructuur en afhankelijkheden zien.
