اربط نتائج التبعيات
بالبرمجيات التي تشحنها.

يفحص أمن سلسلة توريد البرمجيات المكونات والعمليات المستخدمة لبناء البرمجيات وتسليمها. يجيب تقييم التبعيات ومراجعة المصدر وتحليل المنتجات ومراجعة إعدادات النشر عن أسئلة مختلفة وينبغي تقييمها بنطاق صريح.

يستخدم تحليل تبعيات المصدر ملفات البيان وملفات القفل المدعومة لتحديد المكونات. ويفحص فحص صور الحاويات معلومات الحزم المدعومة في أرشيف الصورة المقدم. وقد يختلف الجردان لأن البناء يضيف مكونات أو يزيلها أو يغيرها. قيّم المنتج الذي تنوي شحنه إلى جانب مشروع المصدر.

تصف قائمة SBOM المكونات التي سجلها منتجها. يمكن لمطابقة الأسماء المعترف بها والإصدارات الدقيقة ببيانات التحذيرات تحديد تعرض محتمل. لكنها لا تثبت اكتمال الجرد ولا أن كل المكونات منشورة ولا أن التحذير قابل للاستغلال في تطبيقك.

لا. تحقق من أن التبعيات المتوقعة عُرفت وأن التحليل اكتمل وأن لقطة التحذيرات كانت مناسبة. وتحتاج نقاط ضعف الشيفرة المصدرية والثغرات غير المعروفة ومشكلات التصريح أو وقت التشغيل الخاصة بالتطبيق إلى تحقيق منفصل.

ناقش إصدار المنتج والمحللات المدعومة وتحديثات التحذيرات ومتطلبات الشبكة لنشرك المقصود. فحص المنتجات السحابي والجهاز دون اتصال نطاقا تقييم مختلفان. اتفق على معالجة البيانات وإعدادات الذكاء الاصطناعي الخارجية قبل تقديم الشيفرة المصدرية أو المنتجات.