HodeiShield®

Le SBOM de votre fournisseur, croisé avec les CVE déjà exploitées.

Téléversez le SBOM (la liste des composants logiciels) d’un fournisseur et HodeiShield le croise avec OSV.dev, repère les CVE (vulnérabilités publiées) activement exploitées et signale les critiques et élevées. Téléchargez le SBOM d’origine.

Pour: Responsables des fournisseurs et RSSI qui doivent savoir quels composants logiciels traînent leurs tiers, et réunir la base de leur transparence sur les composants pour le CRA et NIS2.

Demander une démoLire le moteur de risque (s’ouvre dans un nouvel onglet)
  • SBOM en JSON, CycloneDX ou SPDX ; XML et tag-value ne sont pas acceptés
  • Synchronisation quotidienne des CVE ; ce n’est pas de la détection en temps réel

SBOM d’un fournisseurFournisseur A

Données d’exemple

sbom-proveedor-a.json

CycloneDX (JSON)412 composants

  1. Ingestion

    Lu et enregistré pour le fournisseur

  2. Croisement avec OSV.dev

    Composant par composant

  3. Alerte

    Si critique ou élevée

  4. Téléchargement

    Le SBOM d’origine, tel que vous l’avez téléversé

  • libejemplo@2.3.1

    CVE-2099-0001

    Critique

    Dans KEV Oui

  • analizador-x@1.9.0

    CVE-2099-0002

    Élevée

    Dans KEV Non

  • cliente-http@0.8.4

    CVE-2099-0003

    Moyenne

    Dans KEV Non

Alerte
Vers les destinations que vous avez configurées
Téléchargement
Le SBOM d’origine et son inventaire de composants
Données d’exemple : le fournisseur, les composants et les identifiants CVE sont fictifs.

D’un fichier à une décision

Le parcours d’un SBOM, en quatre étapes, avec ce que chacune ne fait pas.

  1. Vous téléversez le SBOM

    C’est vous qui le téléversez, authentifié, depuis la fiche du fournisseur : JSON en CycloneDX ou SPDX, jusqu’à 10 Mo.

    Portée. Le fournisseur ne peut pas le téléverser depuis un lien ; XML et tag-value ne sont pas acceptés.

  2. Il est croisé avec OSV.dev

    Chaque composant est confronté à la base de vulnérabilités ouverte OSV.dev, et le rapprochement est répété chaque jour pour capter les CVE publiées après coup.

    Portée. Quotidien, pas en temps réel.

  3. L’alerte qui compte se déclenche

    Une CVE de gravité critique ou élevée génère une alerte rattachée au fournisseur, acheminée selon vos règles. Les CVE activement exploitées (KEV) pèsent davantage dans le score.

    Portée. L’avertissement au fournisseur par e-mail se déclenche manuellement.

  4. Consultation et téléchargement

    Les composants et leurs CVE restent consultables par fournisseur, et vous pouvez télécharger le SBOM d’origine que vous avez téléversé.

    Portée. C’est une preuve de composants, pas une déclaration de conformité ni une attestation signée.

Ce qu’il fait, avec sa preuve et sa portée

Chaque affirmation indique en marge où la vérifier et jusqu’où elle va.

Source de la preuve

  • Documentation publique
  • Code ouvert
  • Dans la démo

Portée: ce que l’affirmation ne couvre pas

SENSE · recueillir la preuve

Ce que contient le logiciel de votre fournisseur et ce que l’on sait de chaque composant.

  1. Téléversement authentifié du SBOM de chaque fournisseur en JSON (CycloneDX ou SPDX), avec ses composants enregistrés pour le fournisseur.1

    Dans la démo · onglet SBOM du fournisseur

    Portée. JSON uniquement. Le fournisseur ne téléverse pas son SBOM depuis un lien : c’est vous qui le faites.

  2. Chaque composant est croisé avec OSV.dev et le rapprochement est répété chaque jour pour capter les CVE publiées après le téléversement.2

    Dans la démo · CVE par composant

    Portée. Périodicité quotidienne ; ce n’est pas de la détection en temps réel.

S’applique dansGestion du risque tiers

PREDICT · quantifier et simuler

Quelle CVE mérite d’abord votre attention et combien de fournisseurs elle touche.

  1. Les CVE activement exploitées (catalogue KEV de la CISA) pèsent davantage dans le score du fournisseur.3

  2. Quand un composant vulnérable apparaît dans plusieurs SBOM, vous voyez quels fournisseurs sont touchés, et les composants partagés alimentent l’analyse de concentration.4

    Dans la démo · impact par composant

    Portée. La découverte des n-ièmes parties à partir des SBOM existe, mais elle n’est pas planifiée : ce n’est pas une cartographie automatique.

S’applique dansGestion du risque tiers

ACT · proposer et approuver

Ce qui se passe quand apparaît une CVE qui touche un fournisseur.

  1. Une CVE critique ou élevée dans un SBOM génère une alerte rattachée au fournisseur, acheminée selon vos règles vers ServiceNow, Jira, Slack, Teams, e-mail, webhook, SIEM, PagerDuty ou Opsgenie.5

    Docs · Connecteurs (s’ouvre dans un nouvel onglet)

    Portée. Elle notifie ou crée le ticket dans votre système ; elle ne remédie pas et ne déploie pas de correctif.

  2. Le fournisseur répond à une notification de CVE depuis un portail à lien unique, avec des délais configurables par gravité.6

    Dans la démo · réponse à une CVE

    Portée. La boucle complète de délai, nouvelle vérification et preuve de remédiation est partielle : aujourd’hui fonctionnent la notification, le portail et le suivi du délai.

S’applique dansHodeiAI

ATTEST · démontrer aux tiers

Le SBOM n’est pas attesté : il reste une preuve téléchargeable.

  1. Le SBOM d’origine peut être téléchargé tel que vous l’avez téléversé, et ses composants et CVE se consultent par fournisseur.7

    Dans la démo · téléchargement du SBOM

    Portée. Ce n’est ni une déclaration de conformité ni une attestation signée. L’attestation du Trust Center n’inclut jamais de détail de SBOM.

S’applique dansCyber Resilience ActTrust Center et ATTEST

SENSE alimente PREDICT ; PREDICT priorise ce que propose ACT ; ATTEST le démontre aux tiers.

Ce qu’il ne fait pas

Pour que vous sachiez ce que couvre un SBOM et ce qu’il ne couvre pas.

  • Il ne génère pas de SBOM : il travaille avec celui que vous remet le fournisseur, en JSON.
  • Il ne détecte pas en temps réel : les CVE sont synchronisées chaque jour.
  • Ce n’est pas une cartographie complète des n-ièmes parties : la découverte par SBOM existe, mais elle n’est pas planifiée.
  • Il n’avertit pas de lui-même vos fournisseurs par e-mail : c’est vous qui déclenchez l’envoi.
  • Il ne déploie pas de correctifs, ne remédie pas et ne déclare pas la conformité au CRA : il apporte une preuve de composants.
  • Le SBOM n’est pas attesté et ne fait pas partie de l’attestation du Trust Center.

Comment il se connecte aux autres solutions

Le SBOM dépend de la fiche du fournisseur et finit dans votre dossier.

Questions de qui gère la chaîne logicielle

Les objections habituelles, avec la réponse telle quelle.

Quels formats de SBOM accepte-t-il ?

CycloneDX et SPDX, en JSON uniquement, jusqu’à 10 Mo par téléversement. XML et tag-value ne sont pas acceptés. Le téléversement est authentifié : c’est vous qui le faites depuis la fiche du fournisseur.

Mon fournisseur peut-il téléverser lui-même son SBOM ?

Pas aujourd’hui par un lien : le SBOM, c’est vous qui le téléversez, avec le fichier que le fournisseur vous a remis.

Avec quelle base de vulnérabilités est-il croisé ?

Avec OSV.dev, en plus de la synchronisation quotidienne des CVE (NVD, CISA KEV et EPSS, la probabilité d’exploitation) du reste de la plateforme. Les CVE activement exploitées, celles du catalogue KEV, pèsent davantage dans le score.

Me prévient-il en temps réel d’une nouvelle CVE ?

Non. La synchronisation et le rapprochement des SBOM sont quotidiens, la latence jusqu’à l’alerte peut donc atteindre un jour. Les alertes de gravité critique et élevée sont acheminées vers les destinations que vous avez configurées.

Me rend-il conforme au CRA ?

Non. Il vous donne l’inventaire des composants de chaque SBOM et leurs CVE, une base pour votre dossier CRA. Ce n’est pas une déclaration de conformité : la conformité de votre produit ou de votre fournisseur est une évaluation que vous faites vous-même.

Inclut-il le SBOM dans l’attestation du Trust Center ?

Non. L’attestation ne porte que des niveaux de maturité par référentiel, jamais de scores, de montants ni de détail de SBOM.

Croisez un SBOM de votre portefeuille

Pendant la démo, nous téléversons le SBOM de l’un de vos fournisseurs et nous parcourons les CVE, l’alerte et l’inventaire des composants.

Les démos utilisent vos données ou des données d’exemple, jamais celles d’autres clients.

Demander une démoLire le moteur de risque (s’ouvre dans un nouvel onglet)