SBOM CycloneDX, SPDX y lockfiles

Qué hace el conector

Importe un SBOM CycloneDX (JSON o XML), un SPDX 2.x en JSON o un manifiesto de dependencias: TechWatchAlert reconoce cada componente por su CPE, su purl o su nombre, y le deja elegir qué entra en la pila. Una nueva versión del archivo sustituye a la anterior, retiradas incluidas.

Qué llega a TechWatchAlert

• Los componentes y versiones de los SBOM CycloneDX y SPDX 2.x (JSON)
• Los manifiestos y lockfiles: package.json, package-lock.json, pnpm-lock.yaml, yarn.lock, requirements.txt, Pipfile.lock, poetry.lock, go.mod, composer.json, composer.lock, pom.xml, Gemfile.lock, Cargo.lock
• La clasificación de los componentes vigilables (ya citados por un CVE) y no referenciados, antes de la validación
• Los CVE ya publicados sobre los nuevos componentes, recuperados en las alertas
• Un CycloneDX que incluye vulnerabilidades (VEX/VDR) se importa como informe de escaneo

Puesta en marcha

1. Abra Conectores › Archivos SBOM y manifiestos y pulse «Importar un archivo» (5 MB y 5 000 componentes como máximo)
2. Revise la selección de componentes, el nombre de la aplicación y el umbral de alerta, y valide
3. Para un SBOM que la CI mantiene al día, deposítelo por la API con una clave que tenga el permiso «Depósito de SBOM»