Konfigurieren der Integrationen Deps.deV, OSV.deV und PACE für Software Bill of Materials

  • Freigeben Version: Yokohama
  • Aktualisiert 28. Februar 2025
  • 2 Minuten Lesedauer

    • Sie können einige der Parameter für die Integrationen Deps.deV und OSV.deV bearbeiten. Es gibt auch zwei Codeauslöserversionen dieser Integrationen, die ausschließlich für interne Workflows verwendet werden, und Sie sollten diese Integrationen nicht bei Bedarf initiieren. Darüber hinaus können Sie eine geplante Aufgabe aktivieren, um Richtlinien mit der PACE-Code-Engine (Policy as Code Engine) zu erstellen.

    Codeauslöserintegrationen für interne Workflows

    Beginnend mit v3.2 von SBOMAntwort, Leistungsverbesserungen beinhalteten die Hinzufügung von zwei OSV.deV und Deps.deV Code-Auslöser Integrationen:
    • OSV-Integration (Codeauslöser bei Bedarf)
    • Deps.deV-Integration (Codeauslöser bei Bedarf)
    Diese Integrationen werden automatisch von internen Workflows initiiert und sind nur zur internen Verwendung bestimmt. Obwohl Sie sie finden können, dürfen Sie diese Integrationen nicht bei Bedarf mit initiieren Jetzt Ausführen Schaltfläche aus ihren Integrationsdatensätzen.

    Konfigurieren des Ausführungszeitplans für die Deps.de-V-Integration

    Navigieren Sie zu , um den Zeitplan zu ändern Alle > Vulnerability Response > Administration > Integrationen > Deps.dev-Integrationan. Die sn_vul.app_configure_integrations-Rolle ist erforderlich, um den Zeitplan dieser Integration zu bearbeiten.

    Diese Deps.de-V-Integration wird verwendet, um Komponenten zu identifizieren, die sich in befinden Veraltet Und Verworfen status. Die Version einer veralteten Komponente liegt mehr als zwei Hauptversionen hinter der neuesten Version und zwei Jahre hinter der neuesten Version. Eine verworfene Komponente wurde seit mehr als zwei Jahren nicht aktualisiert. Die Schwellenwerte für zwei Jahre und zwei Versionen können mit Systemeigenschaften bearbeitet werden. Navigieren Sie zu , um diese Parameter zu bearbeiten Alle > Systemeigenschaften > Alle Eigenschaften Und suchen Sie nach den folgenden Datensätzen:
    • sn_sbom_resp.pkg_abandoned_threshold
    • sn_sbom_resp.pkg_stale_threshold
    • sn_sbom_resp.pkg_stale_version_threshold

    Die Deps.de-V-Integration Ist mit installiert SBOMAntwort. Die Integration ist standardmäßig aktiviert (Kontrollkästchen „aktiv“ im Integrationsdatensatz ausgewählt) und soll wöchentlich ausgeführt werden. Beachten Sie, dass dies nicht die On-Demand-Deps.de-V-Code-Auslöserintegration ist. Sie können den Zeitplan bearbeiten und die geplante Aufgabe bei Bedarf aus dem Integrationsdatensatz initiieren. .

    Die Schwellenwerte für „verworfen“ und „veraltet“ werden in Monaten angegeben. Der Schwellenwert für Version ist numerisch.

    Sie können importierte Daten auf der Homepage des Arbeitsbereichs und im Modul „Stücklistenwarteschlange“ anzeigen. Importierte Daten werden in der Tabelle „Paketgruppen“ [sn_sbom_pkg_group] gespeichert.

    Konfigurieren und Initiieren der OSV.de-V-Integration – umfassend

    Die OSV.de-V-Integration – umfassend Integration wird mit installiert SBOMAntwort. Die Integration ist standardmäßig aktiviert (Kontrollkästchen „aktiv“ im Integrationsdatensatz ausgewählt). Beachten Sie, dass dies nicht die On-Demand-OSV.de-V-Code-Auslöserintegration ist, und Sie müssen diese Integration bei Bedarf über den zugehörigen Integrationsdatensatz initiieren.

    Navigieren Sie zu , um diese Integration zu konfigurieren und zu initiieren Alle > Vulnerability Response > Administration > Integrationen > OSV.deV-Integration: Umfassendan. Die sn_vul.app_configure_integrations-Rolle ist erforderlich.

    Sie können importierte Daten auf der Homepage des Arbeitsbereichs auf der Registerkarte „Schwachstelle“ in Datensätzen aus der Entitätsliste und im Modul „Bibliotheken“ anzeigen. Importierte Daten werden in den Tabellen „angreifbare Anwendungseinträge“ [sn_vul_app_vul_entry] und „nationale Schwachstellendatenbankeinträge“ [sn_vul_nvd_entry] gespeichert.

    Hinweis:
    Sie können OSV.dev's konfigurieren batchSizeIntegrationsparameter auf der Registerkarte „Integrationsparameter“ auf Open Source-Schwachstelleninstanz Befindet sich in Alle > Vulnerability Response > Administration > Integrationen > Schwachstellen-Integrationen > Open Source-Schwachstelleninstanzan. Der Standardwert ist 75 PURLs pro API-Aufruf.

    Möglicherweise möchten Sie diesen Wert in seiner Standardeinstellung belassen. Das Ändern des Werts kann sich auf die Leistung auswirken.

    PACE wird aktiviert

    Ab Version 4,0 von SBOMAntwort: Sie können Komponenten, die als veraltet oder als „nicht konform“ eingestuft wurden, in der PACE-Schnittstelle (Richtlinie als Code Engine) anzeigen, die in verfügbar ist SBOMArbeitsbereich.

    • Bestimmen Sie, ob Komponenten mit veraltet oder verworfen sind Run PaCE policies for SBOM ResponseGeplante Aufgabe. Diese geplante Aufgabe ist standardmäßig deaktiviert.
    • Zeigen Sie Komponenten an, die als veraltet oder als nicht konform verworfen wurden, in der PACE-Schnittstelle, die verfügbar ist und in angezeigt wird SBOMArbeitsbereich.

    Siehe Integrating PaCE with other applicationsUm weitere Informationen zu PACE- und PACE-Richtlinien zu erhalten.