CycloneDX-, SPDX-SBOMs und Lockfiles

Was der Konnektor tut

Importieren Sie ein CycloneDX-SBOM (JSON oder XML), ein SPDX 2.x in JSON oder ein Abhängigkeitsmanifest: TechWatchAlert erkennt jede Komponente an ihrem CPE, ihrem purl oder ihrem Namen und lässt Sie wählen, was in den Stack aufgenommen wird. Eine neue Version der Datei ersetzt die vorherige, einschließlich Entfernungen.

Was in TechWatchAlert ankommt

• Komponenten und Versionen aus CycloneDX- und SPDX 2.x-SBOMs (JSON)
• Manifeste und Lockfiles: package.json, package-lock.json, pnpm-lock.yaml, yarn.lock, requirements.txt, Pipfile.lock, poetry.lock, go.mod, composer.json, composer.lock, pom.xml, Gemfile.lock, Cargo.lock
• Die Sortierung in überwachbare (bereits in einer CVE genannte) und nicht referenzierte Komponenten, vor der Bestätigung
• Bereits veröffentlichte CVEs zu neuen Komponenten, in den Warnungen nachgeholt
• Ein CycloneDX mit Schwachstellen (VEX/VDR) wird als Scanbericht importiert

Einrichtung

1. Öffnen Sie Konnektoren › SBOM-Dateien und Manifeste und dann „Datei importieren“ (höchstens 5 MB und 5.000 Komponenten)
2. Prüfen Sie die Auswahl der Komponenten, den Anwendungsnamen und die Warnschwelle und bestätigen Sie
3. Für ein von der CI aktuell gehaltenes SBOM übermitteln Sie es per API mit einem Schlüssel mit der Berechtigung „SBOM-Übermittlung“