Guida del prodotto · Italiano
Proteggi la catena di fornitura
Crea un inventario versionato, esamina la copertura degli avvisi di sicurezza e valuta la policy rispetto alla versione dichiarata prima di registrare decisioni VEX o confrontare inventari.
Passaggi
- Apri l’area Dipendenze del repository o Catena di fornitura. Salva una SBOM da un audit completato oppure carica un documento CycloneDX o SPDX supportato con l’identità del prodotto, della versione e del commit.
- Esamina identità dei pacchetti, licenze, risultati degli avvisi di sicurezza e avvertenze di incompletezza. Aggiorna le evidenze degli avvisi quando sono obsolete.
- Valuta le policy applicabili a pacchetti, licenze e vulnerabilità. Registra una decisione VEX solo quando hai evidenze sul fatto che la vulnerabilità interessi questo artefatto; ogni decisione richiede una dichiarazione di impatto verificata, mentre la motivazione leggibile dalla macchina è facoltativa.
- Confronta con un altro inventario dello stesso repository/prodotto per esaminare identità di pacchetti aggiunte o rimosse e cambiamenti di licenza. Esporta una SBOM o un VEX quando devi condividere le evidenze pertinenti.
Leggi il risultato
Gli inventari descrivono componenti dichiarati per una versione specifica; non provano cosa sia distribuito. Evidenze degli avvisi mancanti, obsolete o incomplete non possono dimostrare la sicurezza. Un percorso di dipendenza è un’evidenza strutturale, non una prova di raggiungibilità o irraggiungibilità durante l’esecuzione.
Limiti e disponibilità
Le importazioni supportano profili limitati di CycloneDX e SPDX, non ogni caratteristica semantica né una conversione di andata e ritorno senza perdite. L’importatore non esegue build e non risolve riferimenti esterni arbitrari. Le decisioni di policy e VEX restano legate al proprio ambito; le eccezioni non forniscono le evidenze mancanti.
Questa guida descrive il flusso implementato. Le funzioni disponibili nello spazio di lavoro dipendono dalle capacità dell’account e dalla configurazione; Free Quick Scan non include tutti i flussi avanzati. Controlla i comandi disponibili e le evidenze restituite da ogni esecuzione.