Ürün rehberi · Türkçe
Tedarik zincirinizi güvenceye alın
Sürümlenmiş bir envanter oluşturun, güvenlik duyurusu kapsamını inceleyin ve VEX kararlarını kaydetmeden veya envanterleri karşılaştırmadan önce beyan edilen sürüme karşı politikayı değerlendirin.
Adımlar
- Deponun Bağımlılıklar alanını veya Tedarik zinciri bölümünü açın. Tamamlanan bir denetimden SBOM kaydedin ya da desteklenen bir CycloneDX veya SPDX belgesini ürün, sürüm ve commit kimliğiyle yükleyin.
- Paket kimliklerini, lisansları, güvenlik duyurusu sonuçlarını ve eksiklik uyarılarını inceleyin. Güvenlik duyurusu kanıtları eskidiğinde yenileyin.
- Geçerli paket, lisans ve güvenlik açığı politikalarını değerlendirin. Bir açığın bu çıktıyı etkileyip etkilemediğine dair kanıtınız varsa VEX kararı kaydedin; her karar için gözden geçirilmiş bir etki açıklaması gerekir, makine tarafından okunabilir gerekçe isteğe bağlıdır.
- Eklenen veya kaldırılan paket kimliklerini ve lisans değişikliklerini görmek için aynı depo/ürünün başka bir envanteriyle karşılaştırın. İlgili kanıtları paylaşmanız gerektiğinde SBOM veya VEX dışa aktarın.
Sonucu okuyun
Envanterler belirli bir sürüm için beyan edilen bileşenleri anlatır; dağıtılan içeriği kanıtlamaz. Eksik, eski veya tamamlanmamış güvenlik duyurusu kanıtları güvenliği ortaya koyamaz. Bağımlılık yolu yapısal kanıttır; çalışma zamanında erişilebilirlik veya erişilemezlik kanıtı değildir.
Sınırlar ve kullanılabilirlik
İçe aktarma, CycloneDX ve SPDX’nin sınırlı profillerini destekler; her anlamsal özelliği veya kayıpsız gidiş-dönüş dönüşümünü desteklemez. İçe aktarıcı derleme çalıştırmaz veya rastgele dış referansları çözmez. Politika ve VEX kararları kendi kapsamlarına bağlı kalır; istisnalar eksik kanıtı tamamlamaz.
Bu rehber uygulanan iş akışını anlatır. Çalışma alanınızdaki özellikler hesap yeteneklerine ve yapılandırmaya bağlıdır; gelişmiş akışların tamamı Free Quick Scan’e dahil değildir. Kullanılabilir kontrolleri ve her koşunun döndürdüğü kanıtları inceleyin.