SBOM CycloneDX, SPDX e lockfiles

O que o conector faz

Importe um SBOM CycloneDX (JSON ou XML), um SPDX 2.x em JSON ou um manifesto de dependências: o TechWatchAlert reconhece cada componente pelo CPE, purl ou nome, e deixa-o escolher o que entra na pilha. Uma nova versão do ficheiro substitui a anterior, incluindo remoções.

O que chega ao TechWatchAlert

• Os componentes e versões dos SBOM CycloneDX e SPDX 2.x (JSON)
• Os manifestos e lockfiles: package.json, package-lock.json, pnpm-lock.yaml, yarn.lock, requirements.txt, Pipfile.lock, poetry.lock, go.mod, composer.json, composer.lock, pom.xml, Gemfile.lock, Cargo.lock
• A separação entre componentes monitorizáveis (já citados por uma CVE) e não referenciados, antes da validação
• As CVE já publicadas sobre os novos componentes, recuperadas nos alertas
• Um CycloneDX com vulnerabilidades (VEX/VDR) é importado como relatório de análise

Configuração

1. Abra Conectores › Ficheiros SBOM e manifestos e depois «Importar um ficheiro» (5 MB e 5 000 componentes no máximo)
2. Verifique a seleção dos componentes, o nome da aplicação e o limiar de alerta, e valide
3. Para um SBOM mantido atualizado pela CI, envie-o pela API com uma chave com a permissão «Envio de SBOM»