Руководство по продукту · Русский
Защитить цепочку поставок
Создайте версионированный инвентарь, проверьте его покрытие рекомендациями по безопасности и оцените политику для объявленного релиза, прежде чем фиксировать решения VEX или сравнивать инвентари.
Шаги
- Откройте раздел «Зависимости» репозитория или «Цепочка поставок». Сохраните SBOM из завершённого аудита или загрузите поддерживаемый документ CycloneDX или SPDX с данными о продукте, релизе и коммите.
- Изучите идентификаторы пакетов, лицензии, результаты по рекомендациям безопасности и предупреждения о неполноте. Обновляйте свидетельства по рекомендациям, когда они устарели.
- Оцените применимые политики для пакетов, лицензий и уязвимостей. Фиксируйте решение VEX только при наличии свидетельств о том, затрагивает ли уязвимость этот артефакт; для каждого решения нужно проверенное описание влияния, а машиночитаемое обоснование необязательно.
- Сравните с другим инвентарём того же репозитория/продукта, чтобы увидеть добавленные или удалённые пакеты и изменения лицензий. Экспортируйте SBOM или VEX, когда нужно поделиться соответствующими свидетельствами.
Как читать результат
Инвентари описывают объявленные компоненты конкретного релиза; они не доказывают, что именно развёрнуто. Отсутствующие, устаревшие или неполные свидетельства по рекомендациям не подтверждают безопасность. Путь зависимости — структурное свидетельство, а не доказательство достижимости или недостижимости во время выполнения.
Ограничения и доступность
Импорт поддерживает ограниченные профили CycloneDX и SPDX, а не все семантические возможности или преобразование без потерь в обе стороны. Импортёр не выполняет сборки и не разрешает произвольные внешние ссылки. Решения политик и VEX остаются привязанными к своему охвату; исключения не восполняют отсутствующие свидетельства.
Это руководство описывает реализованный процесс. Доступные в рабочем пространстве функции зависят от возможностей аккаунта и настроек; Free Quick Scan включает не все расширенные процессы. Проверяйте доступные элементы управления и свидетельства, возвращаемые каждым запуском.