ソフトウェア部品表でサポートされているアプリケーションのインストール
ファイルをアップロードする前に、 ソフトウェア部品表 (SBOM) アプリケーションに必要なアプリケーションをダウンロードしてアクティブ化します。
始める前に
必要なロール：すべてのアプリケーションのダウンロード、インストール、およびアクティブ化と、インスタンスでロールのアサインを行うアドミン。
このタスクについて
手順
- ServiceNow Store から必要な SBOM アプリケーションを ServiceNow インスタンスにダウンロードします。
これらのアプリケーションを使用すると、SBOM ファイルをインスタンスにアップロードおよびインポートできます。SBOM Core がインストールされている場合は、SBOMワークスペースで BOM エンティティおよびコンポーネントデータを表示できます。
SBOM Response がインストールされている場合は、SBOMワークスペースで BOM エンティティ、コンポーネントデータ、およびデータの可視化を表示できます。
- SBOMデータモデル
- SBOM Core
アプリケーションのダウンロードとアクティブ化の詳細については、「」を参照してください。 - オプション:
SBOMワークスペースでSBOMデータを表示し、インポートされたサードパーティの脆弱性インテリジェンスを表示し、リスクエクスポージャーを評価して、アプリケーション脆弱性対応および脆弱性対応ワークフローで脆弱性を修正する場合は、次のアプリケーションをダウンロードします。
- 脆弱性対応 とその依存関係
- NVD の脆弱性対応統合
- SBOM Response
これらおよびその他のサポートされている SBOM アプリケーションの詳細については、「ソフトウェア部品表 の探索」を参照してください。
- アプリケーションをダウンロードしたら、 すべて > システムアプリケーション > 利用可能なすべてのアプリケーション > すべて.
-
ダウンロードした SBOM アプリケーションを見つけ、[インストール] を選択して、それぞれの依存関係とともにアクティブ化します。
アプリケーションが正常にアクティブ化されると、メッセージが表示されます。以下の順序でプラグインを有効にします。
- 脆弱性対応 とその依存関係
- NVD の脆弱性対応統合
- SBOM データモデル
- SBOM Core
- SBOM 応答。OSV.dev と Deps.dev の統合が含まれ、 SBOM ワークスペースの Policy as Code Engine (PaCE) インターフェイスをサポートします。
SBOM 応答のインストール後におけるこれらの統合アプリケーションの構成について、詳細は の Deps.dev、OSV.dev、および PaCE 統合の構成 ソフトウェア部品表 を参照してください。
- オプション:
に移動して統合をアクティブ化 すべて > システムアプリケーション > 利用可能なすべてのアプリケーション > すべて をクリックし、[ インストール] を選択します。
これらの統合と提供される機能の詳細については、「ソフトウェア部品表 の探索」を参照してください。
- Vulnerability Response Integration with Veracode。詳細については、「ServiceNow Vulnerability Response Integration with Veracode のインストール」を参照してください。
- NVD の脆弱性対応統合は、アップロードされたコンポーネントに関連付けられている脆弱性の拡張データを表示する場合に必要です。詳細については、「NVD 統合の概要」を参照してください。
- CWE Comprehensive 2000 Integration。このスケジュール済みジョブのアクティブ化の詳細については、「CWE レコードの更新のためのスケジュール済みジョブの構成および実行」を参照してください。
アプリケーションが正常にアクティブ化されると、メッセージが表示されます。
-
ユーザーに次のロールを割り当てます。
- sn_sbom_dm.app_create
- sn_sbom_dm.app_read
- sn_sbom_dm.app_write
- sn_sbom_core.sbom_ingest
- sn_sbom_core.admin
- sn_sbom_resp.sbom_analyst
- sn_sbom_resp.manage_avi_rule
- sn_sbom_response.managelicense
- sn_sbom_response.licenseResolver
- オプション:
インポートされた SBOM データの脆弱性に対するアプリケーション脆弱性一致アイテムを作成する場合は、ユーザーをアプリセキュリティマネージャーグループにアサインします。
アプリセキュリティマネージャーグループにアサインされたユーザーは、アプリケーション脆弱性一致アイテムに優先順位を付けて管理します。このグループのユーザーは、レコードの読み取りと編集、およびアプリケーションとその修復ワークフローでサポートされている アプリケーション脆弱性対応 アプリケーションの設定に必要な多くのロールを継承します。
- オプション:
クローズ済み AVIT を自動的に [オープン] ステータスに戻さない場合は、[検出された場合は AVIT を再オープン (sn_sbom_resp.reopen_avits_if_detected)] システムプロパティを無効にします。
次の条件が存在する場合、脆弱性が関連付けられているコンポーネントの クローズ済みの アプリケーション脆弱性一致アイテム (AVIT) が自動的に再オープン ( [オープン] に設定) され、SBOM ワークスペースに表示されます。
- 脆弱性が関連付けられている AVIT がサードパーティ統合の脆弱性スキャンによって再度検出されたか、脆弱性のあるコンポーネントが後続の SBOM アップロードの一部となっている場合。
- [検出された場合は AVIT を再オープン (sn_sbom_resp.reopen_avits_if_detected)] システムプロパティを無効にしていません。このシステムプロパティはデフォルトで有効になっています。
- クローズ済み AVIT のサブステートが、[緩和コントロールを実施]、[影響を受けていない]、または [誤検出] のいずれでもない。これらのサブステートを持つ AVIT は、システムプロパティによって再オープンされません。
次のタスク
SBOM ファイルをアップロードします。詳細については、「ソフトウェア部品表ファイルを手動でアップロードする」と「REST API を使用したソフトウェア部品表ファイルのアップロード」を参照してください。