SBOM- und Schwachstellen-Analyse
Eine Software-Bill-of-Materials (SBOM) ist die Stückliste einer Software: sie listet alle enthaltenen Komponenten und deren Versionen auf. Die SBOM-Analyse von Compliance-Cloud hilft Ihnen, in der Software Ihrer Lieferanten bekannte Schwachstellen zu erkennen.
Warum SBOMs?
Abschnitt betitelt „Warum SBOMs?“Moderne Software besteht zu großen Teilen aus Open-Source-Komponenten. Wird in einer davon eine Schwachstelle bekannt (Stichwort Log4Shell), müssen Sie wissen: Bin ich betroffen? Eine SBOM beantwortet genau diese Frage — und die CRA macht SBOMs für viele Produkte künftig verpflichtend.
Eine SBOM hochladen
Abschnitt betitelt „Eine SBOM hochladen“- Öffnen Sie SBOMs → SBOM hochladen.
- Wählen Sie die Datei. Unterstützt werden die Standardformate CycloneDX (JSON/XML) und SPDX.
- Ordnen Sie die SBOM optional einem Lieferanten oder Produkt zu.
- Nach dem Upload zerlegt Compliance-Cloud die Datei in ihre Komponenten und startet automatisch den Abgleich gegen die Schwachstellen-Datenbank.
Komponenten und Schwachstellen
Abschnitt betitelt „Komponenten und Schwachstellen“Nach der Analyse sehen Sie zwei verknüpfte Ansichten:
- Komponenten — alle Pakete der SBOM mit Name, Version und Paket-URL
(
purl). - Schwachstellen — die zu diesen Komponenten bekannten CVEs, jeweils mit CVSS-Schweregrad, Beschreibung und betroffener Versionsspanne.
Die Schwachstellendaten stammen aus öffentlichen Quellen (u. a. der NVD) und werden regelmäßig aktualisiert.
Priorisieren und reagieren
Abschnitt betitelt „Priorisieren und reagieren“Nicht jede Schwachstelle ist gleich dringlich. Compliance-Cloud sortiert nach Schweregrad, sodass Sie kritische Funde zuerst sehen. Von dort aus können Sie:
- den betroffenen Lieferanten kontaktieren (etwa per Rückfrage in einem Fragebogen),
- den Fund einer Aufgabe oder einem Workflow zuordnen,
- den Status dokumentieren (z. B. „durch Lieferanten-Update behoben“).
Warnregeln
Abschnitt betitelt „Warnregeln“Damit neue kritische Schwachstellen Sie nicht entgehen, lassen sich Warnregeln definieren — etwa „benachrichtige mich, sobald in einer SBOM eines kritischen Lieferanten eine Schwachstelle mit CVSS ≥ 9.0 auftaucht”. Die Benachrichtigung erreicht Sie dann automatisch; siehe Benachrichtigungen.