Araç ne sağlar?
SBOM veya desteklenen hedeflerden gelen bileşen bilgisi analiz edilebilir. Eşleşme kalitesi paket kimliği ve sürüm doğruluğuna bağlıdır.
Uygulamada nasıl değerlendirilir?
Mobil derleme araçlarını içeren imajın güvenlik raporunu sürüm kaydına ekleyin; uygulama paketinin analizini ayrı tutun.
Sınırlar ve yaygın hatalar
Bileşenin listelenmesi, zafiyetli işlevin uygulamada kullanılabildiğini tek başına göstermez.
Kontrol listesi
- Paket kimliğini doğrulayın
- CVE bağlamını inceleyin
- Düzeltme sürümünü test edin
Karar verirken
Grype sonuçlarını erişilebilirlik ve iş etkisiyle önceliklendirin.
SBOM eşleşmesini doğru yorumlamak
Grype tarafından bildirilen açık, bileşen kimliği ve sürüm eşleşmesine dayanabilir. Yanlış veya eksik envanter yanlış sonuç üretir. Paket kaynağı ve kullanılan açık veri tabanının zamanı kaydedilmelidir.
Etkilenmiyor kararı verildiğinde teknik gerekçe eklenir; bütün uyarılar geniş bir istisnayla kapatılmaz. Yeni sürüm veya yeni veri tabanı sonucu değiştirirse karar yeniden incelenir. RASP bulunması bağımlılıktaki açığı otomatik olarak etkisiz kılmaz.
İlgili rehberler: Syft ile yazılım bileşen envanteri, VEX: bir açıklığın uygulamayı etkileyip etkilemediğini anlatmak.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.