ソフトウェア部品表ワークスペースの [コンポーネント] モジュールの確認

  • リリースバージョン: Yokohama
  • 更新日 2025年01月30日
  • 所要時間：3分

    • ソフトウェア部品表 (SBOM) ワークスペースの [コンポーネント] モジュールには、インポートしたコンポーネントの脆弱性、古い、破棄された、および高リスクの組み合わせに関する現在の情報が表示されます。

    コンポーネントモジュールの表示

    必要なロール:sn_sbom_resp.sbom_analyst

    次のように移動する。 ワークスペース > SBOM ワークスペース > コンポーネント.

    モジュールに表示されるアプリケーションは、インストールしたアプリケーションによって異なります。

    インポートされたデータは、ライブクエリによって計算および入力されません。[ホーム] および [コンポーネント] ページのスコアは毎日 1 回更新され、レポートのパフォーマンスが強化されています。この機能拡張により、 SBOM ワークスペースの [ホーム] および [コンポーネント] モジュールのスコアカードにおけるロード時間が短縮される可能性があります。

    データの保存方法や保存場所への影響はありません。

    インストール済みアプリケーション 説明
    SBOM Core をインストールしている場合 次の情報を含むアップロードされたすべてのコンポーネントのインベントリ。
    • 名前
    • 説明
    • バージョン
    • BOM エンティティ数
    SBOM Response をインストールしている場合 グラフまたはグラフ上の数値を選択すると、関連レコードのリストが表示されます。
    すべてのコンポーネント
    [古い] コンポーネントと [放棄]されたコンポーネントのリスト、および合計コンポーネント数に少なくとも 1 つの脆弱性があるコンポーネントのリスト。これらの数は、注意が必要なコンポーネントを特定するのに役立ちます。すべてのコンポーネントがこれらのカテゴリに当てはまらない可能性があるため、これらのコンポーネントのサブセットはコンポーネントの合計数と一致しない場合があります。
    • 現在のコンポーネントバージョンは、最新のものより 2 年以上遅れており、メジャーバージョンが 2 つ遅れています。
    • 破棄されたコンポーネントが 2 年以上更新されていません。
    • 脆弱性一致コンポーネントとは、重大度が [高] 以上の脆弱性があるコンポーネントのことです。
    高リスクの組み合わせ

    リスクの高いコンポーネントには、早急な対応が必要な場合があります。SBOM Response アプリケーションのインストール時にインストールされる Deps.dev 統合は、ステータスが [古い] および [破棄] のコンポーネントのパッケージインテリジェンスを提供します。

    インポートされたリスクの高い組み合わせは、更新、交換、または別のタイプの修復で修正できる、少なくとも 1 つの重大な ([重大] または [高]) 脆弱性を持つ古いコンポーネントと放棄されたコンポーネントで構成されています。[完全に修正可能 (Completely fixable)] ステータスは、コンポーネントに修正可能なバージョンがあることを意味します。修正可能なバージョンを持つ高リスクコンポーネントの合計数の割合が表示されます。

    脆弱なコンポーネントの修正可能性
    [重大]、[高]、[中]、[低] の脆弱性があるコンポーネントの合計とブレークダウン、およびそれらの脆弱性の一部またはすべてを修正できるかどうか。コンポーネントに複数の脆弱性がある場合は、最も重大な脆弱性が優先されます。

    修正可能性ステータス：

    • 完全 - コンポーネントの現在のバージョンに関連付けられているすべての脆弱性の修正バージョンがあります。
    • 部分的 - コンポーネントの現在のバージョンに関連付けられている修正バージョンが少なくとも 1 つありますが、すべての脆弱性ではありません。
    コンポーネントのライセンスの分類
    ライセンス分類別のコンポーネントの合計とブレークダウン。

    ビジュアル化の下の [コンポーネントリスト] では、名前、説明、バージョン、エンティティ数を確認できます。右側のパネルでは、バージョン履歴を表示できます。バージョン履歴で現在のバージョンが強調表示されます。[共通脆弱性識別子 (CVE)] 列と [修正可能性 (Fixability)] 列も表示されます。

    脆弱性インテリジェンスによるリスク評価

    ワークスペースで脆弱性インテリジェンスデータを確認する方法の詳細については、「ソフトウェア部品表エンティティの脆弱性のチェック」を参照してください。

    ライセンスコンプライアンスによるリスクの評価

    コンポーネントを使用してインポートしたデータにライセンスを付与する方法と、ワークスペースで全体的なライセンスコンプライアンスを表示する方法の詳細については、 ソフトウェア部品表ワークスペースでのライセンスの分類とコンポーネントライセンスの解決 を参照してください。