Guide produit · Français
Sécuriser la chaîne d’approvisionnement
Créez un inventaire versionné, examinez sa couverture par les avis de sécurité et évaluez la politique pour la version déclarée avant d’enregistrer des décisions VEX ou de comparer des inventaires.
Étapes
- Ouvrez la zone Dépendances du dépôt ou Chaîne d’approvisionnement. Enregistrez une SBOM issue d’un audit terminé ou importez un document CycloneDX ou SPDX pris en charge avec l’identité du produit, de la version et du commit.
- Examinez les identités des paquets, les licences, les résultats des avis de sécurité et les avertissements d’incomplétude. Actualisez les éléments liés aux avis lorsqu’ils sont obsolètes.
- Évaluez les politiques applicables aux paquets, licences et vulnérabilités. N’enregistrez une décision VEX que si vous disposez d’éléments indiquant si la vulnérabilité affecte cet artefact ; chaque décision nécessite une déclaration d’impact relue, la justification lisible par machine étant facultative.
- Comparez avec un autre inventaire du même dépôt/produit pour examiner les identités de paquets ajoutées ou retirées et les changements de licence. Exportez une SBOM ou un VEX lorsque vous devez partager les éléments pertinents.
Lire le résultat
Les inventaires décrivent les composants déclarés pour une version précise ; ils ne prouvent pas ce qui est déployé. Des éléments d’avis absents, obsolètes ou incomplets ne permettent pas d’établir la sécurité. Un chemin de dépendance est un élément structurel, pas une preuve d’accessibilité ou d’inaccessibilité à l’exécution.
Limites et disponibilité
Les imports prennent en charge des profils limités de CycloneDX et SPDX, pas toutes leurs fonctions sémantiques ni un aller-retour sans perte. L’importateur n’exécute pas de compilation et ne résout pas de références externes arbitraires. Les décisions de politique et VEX restent liées à leur périmètre ; les exceptions ne fournissent pas les éléments manquants.
Ce guide décrit le parcours implémenté. Les fonctions disponibles dans votre espace de travail dépendent des capacités du compte et de la configuration ; Free Quick Scan n’inclut pas tous les parcours avancés. Vérifiez les contrôles disponibles et les éléments renvoyés par chaque exécution.