Gestão de SBOM
Gestão de SBOM e análise de vulnerabilidades
Importe uma lista de materiais de software (SBOM) e mantenha os componentes, as versões e as dependências no espaço de trabalho do produto. Analise as vulnerabilidades identificadas tendo em conta a configuração do produto e registe o respetivo impacto e a resposta.
Manter o inventário de componentes
Importação
Importe um ficheiro JSON ou XML CycloneDX, ou adicione componentes diretamente.
Componentes e dependências
Mantenha os identificadores, as versões e as relações de dependência dos componentes usados pelo produto.
Análise de vulnerabilidades
Verifique as correspondências tendo em conta a identidade do componente, o código afetado e a configuração do produto.
Correção
Registe as correções ou outras medidas e, depois, atualize o inventário e a análise para a versão em causa.
Importação de inventários
CycloneDX JSON e XML, versões 1.2–1.7
Exportação de inventários
CycloneDX JSON e XML
Contexto do produto
Registos de componentes e relações de dependência
Tratamento de vulnerabilidades
Vulnerabilidades identificadas, informações de suporte e tratamento
Avaliar se uma vulnerabilidade afeta o produto
A correspondência do nome e da versão de um componente identifica uma vulnerabilidade que deve ser analisada. A avaliação também depende de o código afetado estar incluído, da forma como é usado e de existirem no produto as condições necessárias para a exploração.
O importador de inventários suporta SPDX?
Ainda não. O inventário de componentes importa ficheiros CycloneDX em JSON e XML. O guia de formatos SBOM explica as diferenças entre SPDX e CycloneDX.
Uma correspondência de vulnerabilidade prova que o produto é afetado?
Não. Verifique a identidade do componente, a versão, o código afetado e as condições de funcionamento. Registe os motivos da decisão sobre o impacto para que possa ser revista quando o produto mudar.
Podemos experimentar um ficheiro de exemplo?
Sim. O exemplo do gateway inclui dois inventários CycloneDX que pode descarregar. Os componentes fictícios ilustram a estrutura do ficheiro e as dependências.
