Die SBOM Ihres Lieferanten, abgeglichen mit den CVEs, die bereits ausgenutzt werden.

Laden Sie die SBOM eines Lieferanten hoch (Liste seiner Softwarekomponenten), und HodeiShield gleicht sie mit OSV.dev ab, kennzeichnet aktiv ausgenutzte CVEs (veröffentlichte Schwachstellen) und warnt bei kritischem und hohem Schweregrad. Komponenten und CVEs je Lieferant abfragen; Original-SBOM herunterladen.

Für: Lieferantenverantwortliche und CISOs, die wissen müssen, welche Softwarekomponenten ihre Drittparteien mitbringen, und die die Grundlage für Komponententransparenz nach CRA und NIS2 sammeln wollen.

Demo anfragen Dokumentation der Risiko-Engine lesen

SBOMs als JSON, CycloneDX oder SPDX; XML und Tag-Value werden nicht akzeptiert
Täglicher CVE-Abgleich; keine Erkennung in Echtzeit

SBOM eines LieferantenLieferant A

Beispieldaten

vendor-a-sbom.json

CycloneDX (JSON)412 Komponenten

Einlesen
Gelesen und dem Lieferanten zugeordnet gespeichert
Abgleich mit OSV.dev
Komponente für Komponente
Warnung
Bei kritisch oder hoch
Download
Die ursprüngliche SBOM, so wie Sie sie hochgeladen haben

examplelib@2.3.1
CVE-2099-0001
Kritisch
In KEV Ja
parser-x@1.9.0
CVE-2099-0002
Hoch
In KEV Nein
http-client@0.8.4
CVE-2099-0003
Mittel
In KEV Nein

Warnung: An die von Ihnen konfigurierten Ziele
Download: Die ursprüngliche SBOM und ihr Komponenteninventar

Beispieldaten: Lieferant, Komponenten und CVE-Kennungen sind fiktiv.

Von einer Datei zu einer Entscheidung

Der Weg einer SBOM in vier Schritten, samt dem, was jeder Schritt nicht leistet.

Sie laden die SBOM hoch
Sie laden sie authentifiziert über die Karte des Lieferanten hoch: JSON in CycloneDX oder SPDX, bis zu 10 MB.
Geltungsbereich. Der Lieferant kann sie nicht über einen Link hochladen; XML und Tag-Value werden nicht akzeptiert.
Sie wird mit OSV.dev abgeglichen
Jede Komponente wird gegen die offene Schwachstellendatenbank OSV.dev geprüft, und der Abgleich wiederholt sich täglich, um später veröffentlichte CVEs zu erfassen.
Geltungsbereich. Täglich, nicht in Echtzeit.
Die Warnung, auf die es ankommt, wird ausgelöst
Eine CVE mit kritischem oder hohem Schweregrad löst eine dem Lieferanten zugeordnete Warnung aus, nach Ihren Regeln weitergeleitet. Aktiv ausgenutzte (KEV) wiegen im Score stärker.
Geltungsbereich. Die E-Mail-Benachrichtigung an den Lieferanten wird manuell ausgelöst.
Sie fragen ab und laden herunter
Die Komponenten und ihre CVEs bleiben je Lieferant abfragbar, und Sie können die ursprüngliche, von Ihnen hochgeladene SBOM herunterladen.
Geltungsbereich. Es ist ein Komponentennachweis, weder eine Konformitätserklärung noch eine signierte Attestierung.

Was es leistet, mit Beleg und Geltungsbereich

Jede Aussage trägt am Rand, wo man sie prüfen kann und wo sie endet.

Quelle des Belegs

Öffentliche Dokumentation
Open Source
In der Demo

Geltungsbereich: was die Aussage nicht abdeckt

SENSE · Nachweise sammeln

Was die Software Ihres Lieferanten enthält und was über jede Komponente bekannt ist.

Authentifizierter Upload der SBOM jedes Lieferanten als JSON (CycloneDX oder SPDX), wobei die Komponenten dem Lieferanten zugeordnet gespeichert werden.1
In der Demo · Tab SBOM des Lieferanten
Geltungsbereich. Nur JSON. Der Lieferant kann seine SBOM nicht über einen Link hochladen: Sie laden sie hoch.
Jede Komponente wird mit OSV.dev abgeglichen, und der Abgleich wiederholt sich täglich, um nach dem Upload veröffentlichte CVEs zu erfassen.2
In der Demo · CVEs je Komponente
Geltungsbereich. Täglicher Takt; keine Erkennung in Echtzeit.

Gilt inDrittparteien-Risikomanagement

PREDICT · quantifizieren und simulieren

Welche CVE Ihre Aufmerksamkeit zuerst verdient und wie viele Lieferanten sie erreicht.

Aktiv ausgenutzte CVEs (KEV-Katalog der CISA) wiegen im Score des Lieferanten stärker.3
Doku · Risiko-Engine (öffnet sich in einem neuen Tab)
Taucht eine verwundbare Komponente in mehreren SBOMs auf, sehen Sie, welche Lieferanten betroffen sind, und gemeinsame Komponenten speisen die Konzentrationsanalyse.4
In der Demo · Auswirkung je Komponente
Geltungsbereich. Die Erkennung von n-ten Parteien aus SBOMs existiert, läuft aber nicht planmäßig: Sie ist keine automatische Karte.

Gilt inDrittparteien-Risikomanagement

ACT · vorschlagen und genehmigen

Was geschieht, wenn eine CVE auftaucht, die einen Lieferanten betrifft.

Eine kritische oder hohe CVE in einer SBOM löst eine dem Lieferanten zugeordnete Warnung aus, nach Ihren Regeln an ServiceNow, Jira, Slack, Teams, E-Mail, Webhook, SIEM, PagerDuty oder Opsgenie weitergeleitet.5
Doku · Konnektoren (öffnet sich in einem neuen Tab)
Geltungsbereich. Es benachrichtigt oder legt das Ticket in Ihrem System an; es behebt nichts und patcht nichts.
Der Lieferant antwortet auf eine CVE-Benachrichtigung über ein Portal mit Einzellink, mit Fristen, die Sie je Schweregrad konfigurieren.6
In der Demo · Antwort auf eine CVE
Geltungsbereich. Der vollständige Kreislauf aus Frist, erneuter Prüfung und Behebungsnachweis ist teilweise umgesetzt: Heute funktionieren die Benachrichtigung, das Portal und die Fristenverfolgung.

Gilt inHodeiAI

ATTEST · Dritten gegenüber belegen

Die SBOM wird nicht attestiert: Sie bleibt als herunterladbarer Nachweis erhalten.

Die ursprüngliche SBOM lässt sich so herunterladen, wie Sie sie hochgeladen haben, und ihre Komponenten und CVEs werden je Lieferant abgefragt.7
In der Demo · SBOM-Download
Geltungsbereich. Weder Konformitätserklärung noch signierte Attestierung. Die Attestierung des Trust Centers enthält nie SBOM-Details.

Gilt inCyber Resilience Act Trust Center und ATTEST

SENSE speist PREDICT; PREDICT priorisiert, was ACT vorschlägt; ATTEST belegt es gegenüber Dritten.

Was es nicht leistet

Damit Sie wissen, was eine SBOM abdeckt und was nicht.

Es erzeugt keine SBOMs: Es arbeitet mit der, die Ihr Lieferant Ihnen gibt, als JSON.
Es erkennt nicht in Echtzeit: Der CVE-Abgleich läuft täglich.
Es ist keine vollständige Karte der n-ten Parteien: Die SBOM-basierte Erkennung existiert, läuft aber nicht planmäßig.
Es schreibt Ihren Lieferanten nicht von selbst: Sie lösen den Versand aus.
Es patcht und behebt nichts und erklärt keine CRA-Konformität: Es liefert Komponentennachweise.
Die SBOM wird nicht attestiert und ist nicht Teil der Attestierung des Trust Centers.

Wie es mit den anderen Lösungen zusammenhängt

Die SBOM hängt an der Karte des Lieferanten und landet in Ihrem Dossier.

Fragen von Verantwortlichen für die Software-Lieferkette

Die üblichen Einwände, so beantwortet, wie es ist.

Welche SBOM-Formate akzeptiert es?

CycloneDX und SPDX, nur JSON, bis zu 10 MB je Upload. XML und Tag-Value werden nicht akzeptiert. Der Upload ist authentifiziert: Sie führen ihn über die Karte des Lieferanten aus.

Kann mein Lieferant seine eigene SBOM hochladen?

Heute nicht über einen Link: Sie laden die SBOM hoch, mit der Datei, die der Lieferant Ihnen gegeben hat.

Mit welcher Schwachstellendatenbank gleicht es ab?

OSV.dev, zusätzlich zum täglichen CVE-Abgleich der Plattform (NVD, CISA KEV und EPSS, die Ausnutzungswahrscheinlichkeit). Aktiv ausgenutzte, also die im KEV-Katalog, wiegen im Score stärker.

Warnt es mich in Echtzeit vor einer neuen CVE?

Nein. Der Abgleich und die SBOM-Abstimmung erfolgen täglich, sodass die Verzögerung bis zur Warnung bis zu einen Tag betragen kann. Warnungen bei kritischem und hohem Schweregrad werden an die von Ihnen konfigurierten Ziele geleitet.

Macht es mich CRA-konform?

Nein. Es liefert Ihnen das Komponenteninventar jeder SBOM und ihre CVEs, eine Grundlage für Ihre CRA-Unterlagen. Es ist keine Konformitätserklärung: Die Bewertung der Konformität Ihres Produkts oder Ihres Lieferanten nehmen Sie vor.

Enthält die Attestierung des Trust Centers die SBOM?

Nein. Die Attestierung enthält nur Reifegradbänder je Rahmenwerk, nie Scores, Beträge oder SBOM-Details.

Gleichen Sie eine SBOM aus Ihrem Portfolio ab

In der Demo laden wir die SBOM eines Ihrer Lieferanten hoch und gehen die CVEs, die Warnung und das Komponenteninventar durch.

Demos verwenden Ihre Daten oder Beispieldaten, nie Daten anderer Kunden.