SBOM 管理

SBOM 管理與漏洞審閱

匯入軟件物料清單（SBOM），在產品工作區維護元件、版本和依賴關係。根據產品設定審閱漏洞檢出結果，再記錄影響和應對措施。

元件清單的維護流程

匯入 CycloneDX JSON 或 XML 文件，也可直接在平台中輸入元件。

在產品工作區整理元件識別資料、版本和依賴關係。

根據元件識別資料、受影響的程式碼和產品設定，核對匹配結果。

記錄修復或其他處置措施，並按產品版本更新清單和相關分析。

清單匯入

CycloneDX JSON 和 XML，版本 1.2–1.7

清單匯出

CycloneDX JSON 和 XML

產品上下文

元件記錄與依賴關係

漏洞處置

發現記錄、支援資料與處置措施

元件名稱和版本匹配後，還需要確認產品是否包含受影響的程式碼、程式碼如何使用，以及利用條件是否成立。據此判斷漏洞是否影響該產品。

暫不支援。目前元件清單支援匯入 CycloneDX JSON 和 XML。SBOM 格式說明介紹了 SPDX 與 CycloneDX 的區別。

不一定。還需核對元件識別資料、版本、受影響程式碼和運作條件，並記錄影響判斷的理由，以便產品變更後覆核。

有。閘道器示例提供兩個版本的 CycloneDX 清單，使用虛構元件說明文件結構和依賴關係。