HodeiShield®

L’SBOM del Suo fornitore, incrociato con le CVE già sfruttate.

Carichi l’SBOM (l’elenco dei componenti software) di un fornitore e HodeiShield lo incrocia con OSV.dev, segnala le CVE (vulnerabilità pubblicate) sfruttate attivamente e avvisa di quelle critiche e alte. Scarichi l’SBOM originale.

Per: Responsabili dei fornitori e CISO che devono sapere quali componenti software si portano dietro i propri terzi, e raccogliere la base della propria trasparenza sui componenti per il CRA e la NIS2.

Richieda una demoLegga il motore di rischio (si apre in una nuova scheda)
  • SBOM in JSON, CycloneDX o SPDX; non si accettano XML né tag-value
  • Sincronizzazione giornaliera delle CVE; non è rilevamento in tempo reale

SBOM di un fornitoreFornitore A

Dati di esempio

sbom-fornitore-a.json

CycloneDX (JSON)412 componenti

  1. Acquisizione

    Viene letto e salvato per il fornitore

  2. Incrocio con OSV.dev

    Componente per componente

  3. Avviso

    Se critico o alto

  4. Download

    L’SBOM originale, così come l’ha caricato

  • libejemplo@2.3.1

    CVE-2099-0001

    Critica

    In KEV Sì

  • analizador-x@1.9.0

    CVE-2099-0002

    Alta

    In KEV No

  • cliente-http@0.8.4

    CVE-2099-0003

    Media

    In KEV No

Avviso
Verso le destinazioni che ha configurato
Download
L’SBOM originale e il suo inventario dei componenti
Dati di esempio: il fornitore, i componenti e gli identificativi CVE sono fittizi.

Da un file a una decisione

Il percorso di un SBOM, in quattro passi, con ciò che ciascuno non fa.

  1. Carica l’SBOM

    Lo carica Lei, autenticato, dalla scheda del fornitore: JSON in CycloneDX o SPDX, fino a 10 MB.

    Ambito. Il fornitore non può caricarlo da un link; non si accettano XML né tag-value.

  2. Viene incrociato con OSV.dev

    Ogni componente viene confrontato con la base di vulnerabilità aperta OSV.dev, e la riconciliazione si ripete ogni giorno per cogliere le CVE pubblicate in seguito.

    Ambito. Giornaliera, non in tempo reale.

  3. Scatta l’avviso che conta

    Una CVE di gravità critica o alta genera un avviso legato al fornitore, instradato secondo le Sue regole. Quelle sfruttate attivamente (KEV) pesano di più nel punteggio.

    Ambito. L’avviso al fornitore via e-mail è a invio manuale.

  4. Consultazione e download

    I componenti e le loro CVE restano consultabili per fornitore, e può scaricare l’SBOM originale che ha caricato.

    Ambito. È evidenza dei componenti, non una dichiarazione di conformità né un’attestazione firmata.

Che cosa fa, con la sua prova e il suo ambito

Ogni affermazione porta a margine dove verificarla e fin dove arriva.

Fonte della prova

  • Documentazione pubblica
  • Codice open source
  • Nella demo

Ambito: ciò che l’affermazione non copre

SENSE · raccogliere evidenze

Ciò che contiene il software del Suo fornitore e ciò che si sa di ogni componente.

  1. Caricamento autenticato dell’SBOM di ogni fornitore in JSON (CycloneDX o SPDX), con i suoi componenti salvati per il fornitore.1

    Nella demo · scheda SBOM del fornitore

    Ambito. Solo JSON. Il fornitore non carica il proprio SBOM da un link: lo carica Lei.

  2. Ogni componente viene incrociato con OSV.dev e la riconciliazione si ripete ogni giorno per cogliere le CVE pubblicate dopo il caricamento.2

    Nella demo · CVE per componente

    Ambito. Periodicità giornaliera; non è rilevamento in tempo reale.

Si applica inGestione del rischio di terze parti

PREDICT · quantificare e simulare

Quale CVE merita la Sua attenzione per prima e a quanti fornitori arriva.

  1. Le CVE sfruttate attivamente (catalogo KEV della CISA) pesano di più nel punteggio del fornitore.3

  2. Quando un componente vulnerabile compare in più SBOM, vede quali fornitori risultano coinvolti, e i componenti condivisi alimentano l’analisi di concentrazione.4

    Nella demo · impatto per componente

    Ambito. La scoperta delle parti n-esime a partire dagli SBOM esiste, ma non è pianificata: non è una mappa automatica.

Si applica inGestione del rischio di terze parti

ACT · proporre e approvare

Che cosa accade quando compare una CVE che riguarda un fornitore.

  1. Una CVE critica o alta in un SBOM genera un avviso legato al fornitore, instradato secondo le Sue regole verso ServiceNow, Jira, Slack, Teams, e-mail, webhook, SIEM, PagerDuty o Opsgenie.5

    Docs · Connettori (si apre in una nuova scheda)

    Ambito. Notifica o crea il ticket nel Suo sistema; non rimedia né applica patch.

  2. Il fornitore risponde a una notifica di CVE da un portale a link unico, con scadenze configurabili per gravità.6

    Nella demo · risposta a una CVE

    Ambito. Il ciclo completo di scadenza, nuovo controllo ed evidenza di rimedio è parziale: oggi funzionano la notifica, il portale e il monitoraggio della scadenza.

Si applica inHodeiAI

ATTEST · dimostrare ai terzi

L’SBOM non si attesta: resta come evidenza scaricabile.

  1. L’SBOM originale può essere scaricato così come l’ha caricato, e i suoi componenti e le CVE si consultano per fornitore.7

    Nella demo · download dell’SBOM

    Ambito. Non è una dichiarazione di conformità né un’attestazione firmata. L’attestazione del Trust Center non include mai dettagli dell’SBOM.

Si applica inCyber Resilience ActTrust Center e ATTEST

SENSE alimenta PREDICT; PREDICT dà priorità a ciò che ACT propone; ATTEST lo dimostra ai terzi.

Ciò che non fa

Perché sappia che cosa copre un SBOM e che cosa no.

  • Non genera SBOM: lavora con quello che le consegna il fornitore, in JSON.
  • Non rileva in tempo reale: le CVE si sincronizzano ogni giorno.
  • Non è una mappa completa delle parti n-esime: la scoperta tramite SBOM esiste, ma non è pianificata.
  • Non avvisa via e-mail i Suoi fornitori da solo: l’invio lo avvia Lei.
  • Non applica patch né rimedi, e non dichiara la conformità al CRA: fornisce evidenza dei componenti.
  • L’SBOM non si attesta né fa parte dell’attestazione del Trust Center.

Come si collega alle altre soluzioni

L’SBOM dipende dalla scheda del fornitore e finisce nel Suo fascicolo.

Domande di chi gestisce la catena del software

Le obiezioni più comuni, con la risposta così com’è.

Quali formati di SBOM accetta?

CycloneDX e SPDX, solo in JSON, fino a 10 MB per caricamento. Non si accettano XML né tag-value. Il caricamento è autenticato: lo effettua Lei dalla scheda del fornitore.

Il mio fornitore può caricare il proprio SBOM?

Oggi non tramite un link: l’SBOM lo carica Lei, con il file che il fornitore Le ha consegnato.

Con quale base di vulnerabilità viene incrociato?

Con OSV.dev, oltre alla sincronizzazione giornaliera delle CVE (NVD, CISA KEV ed EPSS, la probabilità di sfruttamento) del resto della piattaforma. Quelle sfruttate attivamente, del catalogo KEV, pesano di più nel punteggio.

Mi avvisa in tempo reale di una nuova CVE?

No. La sincronizzazione e la riconciliazione degli SBOM sono giornaliere, quindi la latenza fino all’avviso può arrivare a un giorno. Gli avvisi di gravità critica e alta vengono instradati verso le destinazioni che ha configurato.

Mi rende conforme al CRA?

No. Le fornisce l’inventario dei componenti di ogni SBOM e le loro CVE, una base per il Suo fascicolo CRA. Non è una dichiarazione di conformità: la conformità del Suo prodotto o del Suo fornitore è una valutazione che compie Lei.

Include l’SBOM nell’attestazione del Trust Center?

No. L’attestazione contiene solo bande di maturità per framework, mai punteggi, importi né dettagli dell’SBOM.

Incroci un SBOM del Suo portafoglio

Nella demo carichiamo l’SBOM di un Suo fornitore e percorriamo le CVE, l’avviso e l’inventario dei componenti.

Le demo usano dati Suoi o di esempio, mai di altri clienti.

Richieda una demoLegga il motore di rischio (si apre in una nuova scheda)