SBOM CycloneDX, SPDX et lockfiles

Ce que fait le connecteur

Importez un SBOM CycloneDX (JSON ou XML), un SPDX 2.x en JSON ou un manifeste de dépendances : TechWatchAlert reconnaît chaque composant par son CPE, son purl ou son nom, et vous laisse choisir ce qui entre dans la stack. Une nouvelle version du fichier remplace la précédente, retraits compris.

Ce qui remonte dans TechWatchAlert

• Les composants et versions des SBOM CycloneDX et SPDX 2.x (JSON)
• Les manifestes et lockfiles : package.json, package-lock.json, pnpm-lock.yaml, yarn.lock, requirements.txt, Pipfile.lock, poetry.lock, go.mod, composer.json, composer.lock, pom.xml, Gemfile.lock, Cargo.lock
• Le tri des composants surveillables (déjà cités par une CVE) et non référencés, avant validation
• Les CVE déjà publiées sur les nouveaux composants, rattrapées dans les alertes
• Un CycloneDX qui porte des vulnérabilités (VEX/VDR) s'importe comme rapport de scan

Mise en place

1. Ouvrez Connecteurs › Fichiers SBOM et manifestes, puis « Importer un fichier » (5 Mo et 5 000 composants au plus)
2. Vérifiez la sélection des composants, le nom de l'application et le seuil d'alerte, puis validez
3. Pour un SBOM tenu à jour par la CI, déposez-le par l'API avec une clé portant le droit « Dépôt de SBOM »