Proteger a cadeia de suprimentos

Etapas

1. Abra a área Dependências do repositório ou Cadeia de suprimentos. Salve uma SBOM de uma auditoria concluída ou envie um documento CycloneDX ou SPDX compatível com a identidade do produto, da versão e do commit.
2. Examine identidades de pacotes, licenças, resultados dos avisos de segurança e alertas de incompletude. Atualize as evidências dos avisos quando estiverem desatualizadas.
3. Avalie as políticas aplicáveis a pacotes, licenças e vulnerabilidades. Registre uma decisão VEX apenas quando houver evidências sobre se a vulnerabilidade afeta este artefato; toda decisão exige uma declaração de impacto revisada, e a justificativa legível por máquina é opcional.
4. Compare com outro inventário do mesmo repositório/produto para revisar identidades de pacotes adicionadas ou removidas e alterações de licença. Exporte uma SBOM ou VEX quando precisar compartilhar as evidências relevantes.

Ler o resultado

Inventários descrevem componentes declarados para uma versão específica; não provam o que está implantado. Evidências de avisos ausentes, antigas ou incompletas não estabelecem segurança. Um caminho de dependência é uma evidência estrutural, não prova de que o componente é ou não alcançável em tempo de execução.

Limites e disponibilidade

As importações aceitam perfis limitados de CycloneDX e SPDX, não todos os recursos semânticos nem uma conversão de ida e volta sem perdas. O importador não executa builds nem resolve referências externas arbitrárias. Decisões de política e VEX continuam ligadas ao seu escopo; exceções não fornecem evidências ausentes.

Este guia descreve o fluxo implementado. As funções disponíveis no espaço de trabalho dependem das capacidades da conta e da configuração; Free Quick Scan não inclui todos os fluxos avançados. Confira os controles disponíveis e as evidências retornadas por cada execução.

Documentação relacionada

• Políticas e exceções
• Controles de componentes em PRs
• Visão geral da documentação