SBOMの脆弱性を管理する

本ページでは、SBOMのインポートや管理方法について説明します。
これによりSBOMを利用した脆弱性検出が可能になります。

SBOMをインポートする

インポートしたSBOM一覧を確認できます。

ファイル名	インポートしたSBOMの名前です。
SBOMから取得したOS情報	SBOMにOSの情報が存在することがあります。当該OS情報が認識できた場合に限り、表示します。
最終取込日時	最後にインポートが実行された日時です。
照合データ	SBOMのデータから生成された脆弱性を照合用のデータを確認できます。
操作	SBOMの更新・削除を実行できます。

SBOMのデータから生成された脆弱性を照合用のデータを表示します。
照合方法は、以下の2パターンあります。

SBOMファイル内文字列	SBOMから取得できた各データ毎の文字列を表示します。文字列は主にpurl もしくは CPEになります。
CPE	「SBOMファイル内文字列」にpurlが入っていた場合、変換したCPEが表示されます。「SBOMファイル内文字列」にCPEが入っていた場合、CPEがそのまま表示されます。変換が出来なかった場合、空欄になります。
パッケージ照合	パッケージ照合対象のデータの場合は「⚪︎」が表示されます。対象外の場合は、空欄になります。

※ 「CPE」と「パッケージ照合」の両方が空欄の場合は、行全体がグレーアウトします。
※ 「パッケージ照合」が「⚪︎」の場合、「CPE」が表示されていても使用されません。

【パッケージ照合の対象とする条件】

「SBOM追加情報登録」をクリックします。
何も登録がない場合は「未登録です。」と表示されます。
登録済みの場合、検出済みのOSとアーキテクチャが表示されます。
以下の条件の場合、モジュラリティラベル入力画面が表示されます
- Almalinux: 8、9
- Red Hat Enterprise Linux: 8、9
モジュール管理しているパッケージが存在する場合、必ずモジュラリティラベルを登録してください。
モジュラリティラベルが未登録の場合、正しくパッケージ照合が行われない可能性があります。