Produktleitfaden · Deutsch
Die Lieferkette absichern
Erstellen Sie ein versioniertes Inventar, prüfen Sie dessen Abdeckung durch Sicherheitsmeldungen und bewerten Sie die Richtlinie für die deklarierte Version, bevor Sie VEX-Entscheidungen erfassen oder Inventare vergleichen.
Schritte
- Öffnen Sie den Bereich Abhängigkeiten des Repositorys oder Lieferkette. Speichern Sie eine SBOM aus einem abgeschlossenen Audit oder laden Sie ein unterstütztes CycloneDX- oder SPDX-Dokument mit Produkt-, Versions- und Commit-Identität hoch.
- Prüfen Sie Paketidentitäten, Lizenzen, Ergebnisse zu Sicherheitsmeldungen und Vollständigkeitswarnungen. Aktualisieren Sie veraltete Nachweise zu Sicherheitsmeldungen.
- Bewerten Sie die geltenden Paket-, Lizenz- und Schwachstellenrichtlinien. Erfassen Sie eine VEX-Entscheidung nur mit Nachweisen dazu, ob die Schwachstelle dieses Artefakt betrifft; jede Entscheidung braucht eine geprüfte Auswirkungsbeschreibung, eine maschinenlesbare Begründung ist optional.
- Vergleichen Sie mit einem anderen Inventar desselben Repositorys/Produkts, um hinzugefügte oder entfernte Paketidentitäten und Lizenzänderungen zu prüfen. Exportieren Sie eine SBOM oder VEX, wenn Sie die relevanten Nachweise weitergeben müssen.
Das Ergebnis lesen
Inventare beschreiben deklarierte Komponenten einer bestimmten Version; sie beweisen nicht, was bereitgestellt ist. Fehlende, veraltete oder unvollständige Nachweise zu Sicherheitsmeldungen können keine Sicherheit belegen. Ein Abhängigkeitspfad ist ein struktureller Nachweis, kein Beweis für Erreichbarkeit oder Nichterreichbarkeit zur Laufzeit.
Grenzen und Verfügbarkeit
Importe unterstützen begrenzte Profile von CycloneDX und SPDX, nicht jede semantische Funktion oder einen verlustfreien Rückexport. Der Importer führt keine Builds aus und löst keine beliebigen externen Referenzen auf. Richtlinien- und VEX-Entscheidungen bleiben an ihren Geltungsbereich gebunden; Ausnahmen liefern keine fehlenden Nachweise.
Dieser Leitfaden beschreibt den implementierten Ablauf. Die verfügbaren Funktionen Ihres Arbeitsbereichs hängen von Kontoberechtigungen und Konfiguration ab; Free Quick Scan umfasst nicht alle erweiterten Abläufe. Prüfen Sie die verfügbaren Kontrollen und die Nachweise jedes Laufs.