Eine Version hochladen: SBOM oder Lock-Dateien

Jede Version eines Produkts hat ihre eigene Software-Stückliste (SBOM). Provetry bewahrt sie alle auf: So können Sie jederzeit sagen, welche Versionen im Feld eine bestimmte Komponente enthalten.

Was Sie hochladen können

• Eine SBOM in CycloneDX oder SPDX (JSON), von Ihrem Build erzeugt.
• Lock-Dateien der wichtigsten Paketmanager (npm, pnpm, Yarn, Cargo, Poetry, uv, pip, Composer, Bundler, NuGet, Gradle, Maven …), mit dem Manifest daneben, damit Provetry direkte Abhängigkeiten von den übrigen unterscheiden kann.

Schritte

1. Öffnen Sie das Produkt, dann Eine Version hochladen.
2. Geben Sie die Versionsnummer ein und wählen Sie die Dateien.
3. Klicken Sie auf Hochladen und prüfen. Die Ergebnisse erscheinen innerhalb einer Minute.

Provetry schreibt die SBOM in CycloneDX 1.6 (alle Tarife) sowie in SPDX 2.3 und 3.0.1 (kostenpflichtige Tarife); jede lässt sich bei der Version herunterladen. CycloneDX 1.6 und SPDX 3.0.1 sind die Versionen, die das BSI verlangt. Sie können auch eine SPDX-3-Datei (JSON-LD) hochladen.

Aus einem GitHub-Repository

Geben Sie unter Aus GitHub importieren die Adresse des Repositorys an und auf Wunsch einen Branch oder ein Tag (sonst den Standard-Branch) und die Version (sonst die ersten sieben Zeichen des Commits). Provetry liest die Lock-Dateien dieses Commits über die GitHub-API, mit ihren Manifesten, und lässt Ordner mit eingebettetem Fremdcode, Tests und Beispielen aus. An Ihrer CI ändert sich nichts, und nichts wird geklont oder ausgeführt.

Geben Sie für ein privates Repository ein Fine-grained-Token mit Lesezugriff nur auf die Inhalte dieses Repositorys an. Es wird für diesen Import an GitHub gesendet und nie gespeichert. Repository und Commit werden mit der Version im Nachweisjournal festgehalten.

Unterstützte Versionen

Jede als unterstützt markierte Version wird täglich geprüft (wöchentlich im kostenlosen Tarif). In den kostenpflichtigen Tarifen wird eine Version außerdem innerhalb einer Stunde erneut geprüft, wenn OSV.dev eine Schwachstelle in einem ihrer Pakete veröffentlicht oder aktualisiert, und die Listen ausgenutzter Schwachstellen werden regelmäßig neu gelesen (CISA KEV stündlich, EUVD der ENISA alle sechs Stunden): Eine in einer Version bereits gefundene Schwachstelle wird in der Regel innerhalb einer Stunde nach ihrer Aufnahme in KEV als ausgenutzt markiert, innerhalb von sechs Stunden bei einem Eintrag, der nur in der EUVD steht. Wenn eine Version nicht mehr im Feld ist, klicken Sie auf Nicht mehr unterstützt: Sie behält ihre Historie, wird aber nicht mehr überwacht.

Hat eine Schwachstellenquelle während einer Prüfung nicht geantwortet, zeigt die Version an, dass das Ergebnis unvollständig ist, und die nächste Prüfung vervollständigt es.