Zure hornitzailearen SBOMa, gurutzatuta dagoeneko ustiatzen ari diren CVEekin.

Igo hornitzaile baten SBOMa (software-osagaien zerrenda) eta HodeiShield-ek OSV.devekin gurutzatzen du, aktiboki ustiatutako CVEak (argitaratutako ahultasunak) markatzen ditu eta kritikoez eta altuez abisatzen du. Deskargatu jatorrizko SBOMa.

Hauentzat: Hornitzaileen arduradunak eta CISOak, beren hirugarrenek zein software-osagai daramaten jakin behar dutenak, eta CRArako eta NIS2rako osagaien gardentasunaren oinarria bildu behar dutenak.

Eskatu demo bat Irakurri arrisku-motorra

JSON formatuko SBOMa, CycloneDX edo SPDX; ez dira XML edo tag-value onartzen
CVEen eguneroko sinkronizazioa; ez da denbora errealeko detekzioa

Hornitzaile baten SBOMaA hornitzailea

Adibide-datuak

a-hornitzailearen-sbom.json

CycloneDX (JSON)412 osagai

Sarrera
Irakurri eta hornitzailearen aurka gordetzen da
OSV.devekin gurutzatzea
Osagaiz osagai
Alerta
Kritikoa edo altua bada
Deskarga
Jatorrizko SBOMa, igo zenuen bezala

adibide-lib@2.3.1
CVE-2099-0001
Kritikoa
KEVen Bai
analizatzaile-x@1.9.0
CVE-2099-0002
Altua
KEVen Ez
http-bezeroa@0.8.4
CVE-2099-0003
Ertaina
KEVen Ez

Alerta: Konfiguratu dituzun helmugetara
Deskarga: Jatorrizko SBOMa eta bere osagaien inbentarioa

Adibide-datuak: hornitzailea, osagaiak eta CVE identifikatzaileak fikziozkoak dira.

Fitxategi batetik erabaki batera

SBOM baten ibilbidea, lau urratsetan, bakoitzak egiten ez duenarekin.

SBOMa igotzen duzu
Zuk igotzen duzu, autentifikatuta, hornitzailearen fitxatik: JSON CycloneDX edo SPDX formatuan, 10 MBra arte.
Irismena. Hornitzaileak ezin du esteka batetik igo; ez dira XML edo tag-value onartzen.
OSV.devekin gurutzatzen da
Osagai bakoitza OSV.dev ahultasun-base irekiarekin kontrastatzen da, eta bateratzea egunero errepikatzen da geroago argitaratutako CVEak hartzeko.
Irismena. Egunerokoa, ez denbora errealekoa.
Axola duen alerta jauzten da
Larritasun kritiko edo altuko CVE batek hornitzaileari lotutako alerta bat sortzen du, zure arauen arabera bideratzen dena. Aktiboki ustiatutakoek (KEV) pisu handiagoa dute puntuazioan.
Irismena. Hornitzaileari posta elektronikoz abisatzea eskuz abiarazten da.
Kontsultak eta deskargak
Osagaiak eta haien CVEak hornitzaileka kontsulta daitezke, eta igo zenuen jatorrizko SBOMa deskarga dezakezu.
Irismena. Osagaien ebidentzia da, ez adostasun-aitorpen bat, ezta egiaztagiri sinatu bat ere.

Zer egiten duen, bere frogarekin eta bere irismenarekin

Baieztapen bakoitzak ertzean dauka non egiaztatu eta nora iristen den.

Frogaren iturria

Dokumentazio publikoa
Kode irekia
Demoan

Irismena: baieztapenak estaltzen ez duena

SENSE · ebidentzia biltzea

Zure hornitzailearen softwareak zer duen eta osagai bakoitzaz zer dakigun.

Hornitzaile bakoitzaren SBOMa autentifikatuta igotzea JSON formatuan (CycloneDX edo SPDX), osagaiak hornitzailearen aurka gordeta.1
Demoan · hornitzailearen SBOM fitxa
Irismena. JSON soilik. Hornitzaileak ez du bere SBOMa esteka batetik igotzen: zuk igotzen duzu.
Osagai bakoitza OSV.devekin gurutzatzen da eta bateratzea egunero errepikatzen da, igoeraren ondoren argitaratutako CVEak hartzeko.2
Demoan · osagaiko CVEak
Irismena. Eguneroko aldizkakotasuna; ez da denbora errealeko detekzioa.

Hemen aplikatzen daHirugarrenen arriskuen kudeaketa

PREDICT · kuantifikatzea eta simulatzea

Zein CVEk merezi duen zure arreta lehenik eta zenbat hornitzailetara iristen den.

Aktiboki ustiatutako CVEek (CISAren KEV katalogoa) pisu handiagoa dute hornitzailearen puntuazioan.3
Docs · Arrisku-motorra (fitxa berri batean irekitzen da)
Osagai ahul bat hainbat SBOMetan agertzen denean, ikusten duzu zein hornitzaile eragindakoak diren, eta partekatutako osagaiek kontzentrazio-azterketa elikatzen dute.4
Demoan · osagaiko inpaktua
Irismena. SBOMetatik n-garren mailako hirugarrenak aurkitzea existitzen da, baina ez dago planifikatuta: ez da mapa automatikoa.

Hemen aplikatzen daHirugarrenen arriskuen kudeaketa

ACT · proposatzea eta onartzea

Zer gertatzen den hornitzaile bati eragiten dion CVE bat agertzen denean.

SBOM bateko CVE kritiko edo altu batek hornitzaileari lotutako alerta bat sortzen du, zure arauen arabera ServiceNow, Jira, Slack, Teams, posta elektroniko, webhook, SIEM, PagerDuty edo Opsgeniera bideratua.5
Docs · Konektoreak (fitxa berri batean irekitzen da)
Irismena. Jakinarazi egiten du edo tiketa sortzen du zure sisteman; ez du konponketarik, ezta adabakirik ere egiten.
Hornitzaileak CVE jakinarazpen bati esteka bakarreko atari batetik erantzuten dio, larritasunaren arabera konfiguratzeko moduko epeekin.6
Demoan · CVE baten erantzuna
Irismena. Epearen, berrikusketa berriaren eta konponketa-ebidentziaren begizta osoa partziala da: gaur egun jakinarazpena, atari eta epearen jarraipena dabiltza.

Hemen aplikatzen daHodeiAI

ATTEST · hirugarrenei frogatzea

SBOMa ez da egiaztatzen: deskarga daitekeen ebidentzia gisa geratzen da.

Jatorrizko SBOMa igo zenuen bezala deskarga daiteke, eta haren osagaiak eta CVEak hornitzaileka kontsultatzen dira.7
Demoan · SBOMaren deskarga
Irismena. Ez da adostasun-aitorpen bat, ezta egiaztagiri sinatu bat ere. Trust Centerreko egiaztagiriak ez du inoiz SBOM xehetasunik barne hartzen.

Hemen aplikatzen daCyber Resilience Act Trust Center eta ATTEST

SENSEk PREDICT elikatzen du; PREDICTek ACTek proposatzen duena lehenesten du; ATTESTek hirugarrenei frogatzen die.

Egiten ez duena

SBOM batek zer estaltzen duen eta zer ez jakin dezazun.

Ez du SBOMik sortzen: hornitzaileak ematen dizun SBOMarekin lan egiten du, JSON formatuan.
Ez du denbora errealean detektatzen: CVEak egunero sinkronizatzen dira.
Ez da n-garren mailako hirugarrenen mapa osoa: SBOMen bidezko aurkikuntza existitzen da, baina ez dago planifikatuta.
Ez die bere kabuz posta elektronikoz abisatzen zure hornitzaileei: bidalketa zuk abiarazten duzu.
Ez du adabakirik jartzen, ezta konponketarik egiten ere, eta ez du CRArekiko adostasunik aldarrikatzen: osagaien ebidentzia ematen du.
SBOMa ez da egiaztatzen eta ez da Trust Centerreko egiaztagiriaren parte.

Nola lotzen den beste konponbideekin

SBOMa hornitzailearen fitxatik zintzilik dago eta zure espedientean amaitzen da.

Software-katea daramanaren galderak

Ohiko eragozpenak, dagoen bezala erantzunda.

Zein SBOM formatu onartzen ditu?

CycloneDX eta SPDX, JSON formatuan soilik, igoera bakoitzeko 10 MBra arte. Ez dira XML edo tag-value onartzen. Igoera autentifikatua da: zuk egiten duzu hornitzailearen fitxatik.

Nire hornitzaileak bere SBOMa igo dezake?

Gaur egun ez esteka batetik: SBOMa zuk igotzen duzu, hornitzaileak eman dizun fitxategiarekin.

Zein ahultasun-baserekin gurutzatzen da?

OSV.devekin, plataformaren gainerakoaren CVEen eguneroko sinkronizazioaz gain (NVD, CISA KEV eta EPSS, ustiatzeko probabilitatea). Aktiboki ustiatutakoek, KEV katalogokoek, pisu handiagoa dute puntuazioan.

CVE berri baten berri denbora errealean ematen al dit?

Ez. SBOMen sinkronizazioa eta bateratzea egunerokoak dira, beraz alertarako latentzia egun batera irits daiteke. Larritasun kritiko eta altuko alertak konfiguratu dituzun helmugetara bideratzen dira.

CRA betetzen dudala bermatzen al du?

Ez. SBOM bakoitzaren osagaien inbentarioa eta haien CVEak ematen dizkizu, zure CRA espedienterako oinarri bat. Ez da adostasun-aitorpen bat: zure produktuaren edo zure hornitzailearen adostasuna zuk egiten duzun ebaluazio bat da.

SBOMa Trust Centerreko egiaztagirian sartzen al da?

Ez. Egiaztagiriak esparruko heldutasun-bandak soilik daramatza, inoiz ez puntuazioak, zenbatekoak edo SBOM xehetasunik.

Gurutzatu zure karteraren SBOM bat

Demoan zure hornitzaileetako baten SBOMa igotzen dugu eta CVEak, alerta eta osagaien inbentarioa aztertzen ditugu.

Demoek zure datuak edo adibide-datuak erabiltzen dituzte, inoiz ez beste bezeroenak.