SBOM CycloneDX, SPDX e lockfile

Cosa fa il connettore

Importa uno SBOM CycloneDX (JSON o XML), un SPDX 2.x in JSON o un manifest di dipendenze: TechWatchAlert riconosce ogni componente dal suo CPE, dal suo purl o dal suo nome, e ti lascia scegliere cosa entra nello stack. Una nuova versione del file sostituisce la precedente, rimozioni comprese.

Cosa arriva in TechWatchAlert

• I componenti e le versioni degli SBOM CycloneDX e SPDX 2.x (JSON)
• Manifest e lockfile: package.json, package-lock.json, pnpm-lock.yaml, yarn.lock, requirements.txt, Pipfile.lock, poetry.lock, go.mod, composer.json, composer.lock, pom.xml, Gemfile.lock, Cargo.lock
• La separazione tra componenti monitorabili (già citati da un CVE) e non referenziati, prima della conferma
• I CVE già pubblicati sui nuovi componenti, recuperati negli avvisi
• Un CycloneDX che contiene vulnerabilità (VEX/VDR) si importa come report di scansione

Configurazione

1. Apri Connettori › File SBOM e manifest, poi «Importa un file» (massimo 5 MB e 5.000 componenti)
2. Verifica la selezione dei componenti, il nome dell'applicazione e la soglia di avviso, poi conferma
3. Per uno SBOM mantenuto aggiornato dalla CI, caricalo tramite API con una chiave che ha il permesso «Caricamento di SBOM»