تأمين سلسلة التوريد

الخطوات

1. افتح منطقة Dependencies في المستودع أو Supply chain. احفظ SBOM من تدقيق مكتمل أو ارفع مستند CycloneDX أو SPDX مدعومًا مع هوية المنتج والإصدار وcommit.
2. افحص هويات الحزم والتراخيص ونتائج التنبيهات الأمنية وتحذيرات عدم الاكتمال. حدّث أدلة التنبيهات عندما تصبح قديمة.
3. قيّم سياسات الحزم والتراخيص والثغرات المنطبقة. سجّل قرار VEX فقط عندما تتوفر لديك أدلة حول ما إذا كانت الثغرة تؤثر في هذا الأثر؛ ويتطلب كل قرار بيان تأثير مُراجَعًا، أما المبرر المقروء آليًا فاختياري.
4. قارن مع جرد آخر للمستودع/المنتج نفسه لمراجعة هويات الحزم المضافة أو المحذوفة وتغييرات التراخيص. صدّر SBOM أو VEX عندما تحتاج إلى مشاركة الأدلة ذات الصلة.

قراءة النتيجة

تصف الجرود المكونات المعلنة لإصدار محدد؛ ولا تثبت ما تم نشره. أدلة التنبيهات المفقودة أو القديمة أو غير المكتملة لا تثبت السلامة. مسار التبعية دليل بنيوي، وليس إثباتًا لإمكانية الوصول أو تعذره وقت التشغيل.

القيود والتوافر

يدعم الاستيراد ملفات تعريف محدودة من CycloneDX وSPDX، وليس كل الميزات الدلالية أو تحويلًا ذهابًا وإيابًا دون فقد. لا ينفّذ المستورد عمليات بناء ولا يحلّ مراجع خارجية عشوائية. تبقى قرارات السياسة وVEX مرتبطة بنطاقها؛ ولا توفر الاستثناءات أدلة مفقودة.

يصف هذا الدليل سير العمل المطبّق. تعتمد الميزات المتاحة في مساحة عملك على قدرات الحساب والإعدادات؛ ولا يتضمن Free Quick Scan كل مسارات العمل المتقدمة. تحقق من عناصر التحكم المتاحة والأدلة التي يعيدها كل تشغيل.

توثيق ذو صلة

• السياسة والاستثناءات
• بوابات المكونات في PR
• نظرة عامة على التوثيق