CycloneDX- en SPDX-SBOM's en lockfiles

Wat de connector doet

Importeer een CycloneDX-SBOM (JSON of XML), een SPDX 2.x in JSON of een dependency-manifest: TechWatchAlert herkent elke component aan zijn CPE, purl of naam, en laat u kiezen wat in de stack komt. Een nieuwe versie van het bestand vervangt de vorige, verwijderingen inbegrepen.

Wat er in TechWatchAlert binnenkomt

• Componenten en versies uit CycloneDX- en SPDX 2.x-SBOM's (JSON)
• Manifesten en lockfiles: package.json, package-lock.json, pnpm-lock.yaml, yarn.lock, requirements.txt, Pipfile.lock, poetry.lock, go.mod, composer.json, composer.lock, pom.xml, Gemfile.lock, Cargo.lock
• Indeling in bewaakbare componenten (al door een CVE genoemd) en niet-gerefereerde, vóór bevestiging
• Al gepubliceerde CVE's op nieuwe componenten, alsnog opgenomen in de waarschuwingen
• Een CycloneDX met kwetsbaarheden (VEX/VDR) wordt als scanrapport geïmporteerd

Instellen

1. Open Connectoren › SBOM-bestanden en manifesten en klik op “Bestand importeren” (maximaal 5 MB en 5.000 componenten)
2. Controleer de selectie van componenten, de naam van de applicatie en de waarschuwingsdrempel, en bevestig
3. Upload een SBOM die door de CI actueel wordt gehouden via de API, met een sleutel met het recht “SBOM uploaden”