でサポートされているアプリケーションのインストール ソフトウェア部品表

  • リリースバージョン: Washingtondc
  • 更新日 2024年02月01日
  • 読む5読むのに数分

    • ファイルをアップロードする前に、 ソフトウェア部品表 (SBOM) アプリケーションに必要なアプリケーションをダウンロードしてアクティブ化します。

    始める前に

    必要なロール：すべてのアプリケーションのダウンロード、インストール、およびアクティブ化と、インスタンスでロールのアサインを行う管理者。

    このタスクについて

    手順

    1. からServiceNow StoreインスタンスSBOMに必要なアプリケーションをダウンロードしますServiceNow。

      これらのアプリケーションを使用すると、SBOM ファイルをインスタンスにアップロードおよびインポートできます。コアの v2.1 SBOM 以降、SBOM ワークスペースでコンポーネントデータを表示できます。

      • のデータモデル SBOM
      • SBOM コア
      アプリケーションのダウンロードとアクティブ化の詳細については、以下を参照してください。
    2. オプション: ワークスペースでSBOMデータを表示し、インポートされたサードパーティの脆弱性インテリジェンスを表示しSBOM、リスクエクスポージャーを評価し、Application Vulnerability Response および Vulnerability Response ワークフローを使用して脆弱性を修正するには、次のアプリケーションをダウンロードします。
      • 脆弱性対応 とその依存関係
      • Vulnerability Response Integration with NVD
      • SBOM 応答

      これらのアプリケーションおよびその他のサポートされている SBOM アプリケーションの詳細については、を参照してください ソフトウェア部品表 の詳細。

    3. アプリケーションをダウンロードしたら、次の場所に移動します。 すべて > システムアプリケーション > 利用可能なすべてのアプリケーション > すべて.
    4. ダウンロードしたアプリケーションを見つけ、 SBOM [ インストール ] を選択して、依存関係と共にアクティブ化します。

      アプリケーションが正常にアクティブ化されると、メッセージが表示されます。次の順序でアプリケーションをアクティブ化します。

      • 脆弱性対応 とその依存関係
      • Vulnerability Response Integration with NVD
      • のデータモデル SBOM
      • SBOM コア
      • SBOM OSV.dev および Deps.dev 統合を含む応答

      インストールされている場合、Deps.dev 統合はデフォルトで有効になり (統合レコードで [アクティブ] チェックボックスが選択されている)、毎週実行されるようにスケジュールされます。スケジュールを編集し、データ連携レコードからオンデマンドでジョブスケジュールを開始できます。移動先 すべて > Vulnerability Response > 統合 > Deps.dev 統合. この統合のスケジュールを編集するには、sn_vul.app_configure_integrations ロールが必要です。

      Deps.dev 統合は、[ 古い ] ステータスと [破棄 ] ステータスのコンポーネントを識別するために使用されます。古いコンポーネントのバージョンは、最新バージョンより 2 つ以上前、最新バージョンより 2 年遅れています。破棄されたコンポーネントが 2 年以上更新されていない。2 年と 2 つのバージョンのしきい値は、システムプロパティを使用して編集できます。これらのパラメーターを編集するには、次の場所に移動します。 すべて > システムプロパティ > すべてのプロパティ をクリックし、次のレコードを見つけます。
      • sn_sbom_resp.pkg_abandoned_threshold
      • sn_sbom_resp.pkg_stale_threshold
      • sn_sbom_resp.pkg_stale_version_threshold

      破棄および古いしきい値は月単位です。バージョンのしきい値は数値です。

      インストールされている場合、OSV.dev 統合はデフォルトでアクティブ化されています (統合レコードで [アクティブ] チェックボックスが選択されている) が、統合レコードからオンデマンドで開始する必要があります。移動先 すべて > Vulnerability Response > 統合 > OSV.dev 統合 - 包括的. この統合のスケジュールを編集するには、sn_vul.app_configure_integrations ロールが必要です。

      注:
      OSV.dev の統合パラメーターは batchSize 、オープンソースの脆弱性統合で設定できます。デフォルトは、API 呼び出し当たり 75 PURL です。
    5. オプション: 次に移動して統合をアクティブ化する すべて > システムアプリケーション > 利用可能なすべてのアプリケーション > すべて をクリックし、[ インストール] を選択します。

      これらの統合と提供される機能の詳細については、次を参照してください ソフトウェア部品表 の詳細。

      アプリケーションが正常にアクティブ化されると、メッセージが表示されます。

    6. 次のロールをユーザーにアサインします。
      • sn_sbom_dm.app_create
      • sn_sbom_dm.app_read
      • sn_sbom_dm.app_write
      • sn_sbom_core.sbom_ingest
      • sn_sbom_core.admin
      • sn_sbom_resp.sbom_analyst
      • sn_sbom_resp.manage_avi_rule
    7. オプション: インポート SBOM されたデータの脆弱性に対するアプリケーション脆弱性一致アイテムを作成する場合は、ユーザーをアプリセキュリティマネージャーグループにアサインします。

      アプリセキュリティマネージャーグループにアサインされたユーザーは、アプリケーション脆弱性一致アイテムに優先順位を付けて管理します。このグループのユーザーは、レコードの読み取りと編集、およびアプリケーションとその修復ワークフローでサポートされているアプリケーション アプリケーション脆弱性対応 の設定に必要な多くのロールを継承します。

    次のタスク

    ファイルをアップロードします SBOM 。詳細については、「ファイルを手動でアップロードするソフトウェア部品表」と「REST API を使用したファイルのアップロードソフトウェア部品表」を参照してください。