SBOM staje się użyteczny dopiero w pętli operacyjnej
Snapshot wydania pozwala powiązać nową informację o podatności z dokładnym komponentem, produktem i właścicielem dalszej decyzji.
Jeden release, jeden kontrolowany snapshot
SBOM powinien wskazywać produkt, dokładne wydanie, czas wygenerowania, narzędzie i integralność pliku. Nowy release tworzy nowy snapshot. Poprzedni pozostaje dostępny, ponieważ historia komponentów pozwala ustalić, które wydania były dotknięte i kiedy pojawiła się poprawka.
Normalizuj tożsamość przed enrichment
- nazwa, wersja i ekosystem pakietu
- Package URL, jeżeli jest wiarygodny
- CPE tylko tam, gdzie dopasowanie jest jednoznaczne
- unikalny identyfikator komponentu w snapshotcie
- relacje bezpośrednie i przechodnie
- jawny status unresolved zamiast fuzzy match
Źródło podatności jest obserwacją
OSV API może odpowiadać na zapytania o pakiet i wersję, a importy ze skanerów mogą dostarczać identyfikatory, severity i source disposition. Te dane należy zachować z provenance. Nie powinny automatycznie zmieniać human assessmentu ani oznaczać produktu jako podatnego.
Obsłuż częściowe i przestarzałe dane
- nie aktywuj częściowego enrichment jako kompletnego
- zapisz czas i wersję źródła
- pokaż brak dopasowania oraz konflikt między źródłami
- oznacz assessment do przeglądu po nowej obserwacji
- nie kasuj wcześniejszych source runs
Mierz pokrycie procesu, nie „compliance score”
| Metryka | Co pokazuje |
|---|---|
| Release z aktualnym SBOM | pokrycie portfolio kontrolowanymi snapshotami |
| Unresolved components | lukę w tożsamości i możliwości enrichment |
| Assessments under investigation | otwartą pracę zespołu |
| Czas od obserwacji do triage | sprawność procesu decyzyjnego |
| Fixed release z evidence | zamknięcie remediation na poziomie produktu |
SBOM monitoring – FAQ
Czy samo wygenerowanie SBOM zapewnia monitoring podatności?
Nie. SBOM dostarcza inventory komponentów. Monitoring wymaga regularnego enrichment, dopasowania wyników do konkretnego release'u, human triage, remediation i zachowania historii.
Czy wynik OSV oznacza, że release jest AFFECTED?
Nie automatycznie. Wynik źródłowy wskazuje, że komponent i wersja mogą odpowiadać rekordowi podatności. Ocena wpływu na produkt wymaga analizy człowieka.
Oficjalne źródła
Podstawa materiału została sprawdzona 1 września 2026.