용 Deps.dev, OSV.dev 및 PaCE 통합 구성 소프트웨어 자재 명세서

  • 릴리스 버전: Yokohama
  • 업데이트 날짜 2025년 02월 28일
  • 읽기3분

    • Deps.dev 및 OSV.dev 통합에 대한 일부 매개변수를 편집할 수 있습니다. 또한 이러한 통합에는 내부 워크플로우에만 사용되는 두 가지 코드 트리거 버전이 있으며 이러한 통합을 요청 시 시작하면 안 됩니다. 또한 예약된 작업을 활성화하여 Policy as Code Engine(PaCE)을 사용하여 정책을 생성할 수 있습니다.

    내부 워크플로우에 대한 코드 트리거 통합

    응답 v3.2 SBOM 부터 두 가지 OSV.dev 및 Deps.dev 코드 트리거 통합이 추가되어 성능이 향상되었습니다.
    • OSV 통합(요청 시 코드 트리거)
    • Deps.dev 통합(요청 시 코드 트리거)
    이러한 통합은 내부 워크플로우에 의해 자동으로 시작되며 내부용으로만 사용됩니다. 찾을 수는 있지만 통합 기록에서 지금 실행 버튼을 사용하여 요청 시 이러한 통합을 시작해서는 안 됩니다.

    Deps.dev 통합의 실행 일정 구성

    일정을 수정하려면 다음으로 이동하십시오. 모두 > 취약성 대응 > 관리 > 통합 > Deps.dev 통합. 이 통합의 일정을 편집하려면 sn_vul.app_configure_integrations 역할이 필요합니다.

    이 Deps.dev 통합은 부실 및 중단됨 상태에 있는 구성요소를 식별하는 데 사용됩니다. 부실 구성 요소의 버전은 최신 버전보다 두 개 이상의 주요 버전이며 최신 버전보다 2년 뒤처져 있습니다. 버려진 구성 요소가 2년 이상 업데이트되지 않았습니다. 2년 및 2개의 버전 임계치는 시스템 속성으로 편집할 수 있습니다. 이러한 매개변수를 편집하려면 모두 > 시스템 속성 > 모든 속성 을 클릭하고 다음 기록을 찾습니다.
    • sn_sbom_resp.pkg_abandoned_threshold
    • sn_sbom_resp.pkg_stale_threshold
    • sn_sbom_resp.pkg_stale_version_threshold

    Deps.dev 통합 은 응답과 함께 SBOM 설치됩니다. 통합은 기본적으로 활성화되고(통합 기록에서 활성 확인란 선택됨) 매주 실행되도록 예약됩니다. 이는 온디맨드 Deps.dev 코드 트리거 통합이 아니며, 통합 기록에서 일정을 편집하고 온디맨드 방식으로 예약된 작업을 시작할 수 있습니다. 입니다.

    중단됨 및 부실에 대한 임계값은 개월 단위입니다. 버전의 임계값은 숫자입니다.

    작업공간의 홈 페이지와 BOM 큐 모듈에서 임포트한 데이터를 볼 수 있습니다. 임포트한 데이터는 패키지 그룹 [sn_sbom_pkg_group] 테이블에 저장됩니다.

    OSV.dev 통합 구성 및 시작 - 포괄적

    OSV.dev 통합 - 포괄적 통합이 Response와 함께 SBOM 설치됩니다. 통합은 기본적으로 활성화됩니다(통합 기록에서 활성 확인란 선택됨). 이는 요청 시 OSV.dev 코드 트리거 통합이 아니며 통합 기록에서 요청 시 이 통합을 시작해야 합니다.

    이 통합을 구성하고 시작하려면 다음으로 이동하십시오. 모두 > 취약성 대응 > 관리 > 통합 > OSV.dev 통합 - 포괄적. sn_vul.app_configure_integrations 역할이 필요합니다.

    임포트한 데이터는 작업 공간의 홈페이지, 취약성 탭, 엔터티 목록의 기록, 라이브러리 모듈에서 볼 수 있습니다. 임포트된 데이터는 애플리케이션 취약 항목 [sn_vul_app_vul_entry] 및 국가 취약성 데이터베이스 항목 [sn_vul_nvd_entry] 테이블에 저장됩니다.

    주:
    에 있는 오픈 소스 취약성 인스턴스의 통합 매개변수 탭에서 OSV.dev의 batchSize 통합 매개변수를 구성할 수 있습니다. 모두 > 취약성 대응 > 관리 > 통합 > 취약성 통합 > 오픈 소스 취약성 인스턴스. 기본값은 API 호출당 75 PURL입니다.

    이 값을 기본 설정으로 두는 것이 좋습니다. 값을 변경하면 성능에 영향을 줄 수 있습니다.

    PaCE 활성화

    응답 버전 4.0 SBOM 부터 작업 공간에서 사용할 수 있는 PaCE(Policy as Code Engine) 인터페이스에서 부실하거나 '미준수'로 중단된 구성요소를 SBOM 볼 수 있습니다.

    • 구성요소가 부실하거나 예약된 작업으로 중단되었는지 Run PaCE policies for SBOM Response 확인합니다. 이 예약된 작업은 기본적으로 비활성화되어 있습니다.
    • 작업 공간에서 사용할 수 있고 볼 수 있는 PaCE 인터페이스에서 부실하거나 규정 미준수로 중단된 구성요소를 SBOM 봅니다.

    PaCE 및 PaCE 정책에 대한 자세한 내용은 을 참조하십시오 Integrating PaCE with other applications .