Funktion · SBOM

Eine SBOM in CycloneDX oder SPDX, ohne Änderungen an Ihrer CI.

LibWatch kennt bereits jede Abhängigkeit Ihrer Projekte. Daraus erstellt es eine maschinenlesbare Software-Stückliste, gegen die offiziellen Schemas validiert und mit einem Klick herunterladbar.

SBOM erstellen
Mit einer KI lesen .md-Version
bestellungen-api-cyclonedx-sbom.json 
{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "symfony/http-kernel",
      "version": "6.4.1",
      "purl": "pkg:composer/symfony/http-kernel@6.4.1"
    }
  ]
}

Zwei Formate

CycloneDX für die Sicherheit, SPDX für Lizenzen

JSON

CycloneDX 1.5

— Das von Sicherheitstools am häufigsten verlangte Format.

— In OWASP Dependency-Track importierbar.

— Name, Version, Registry und purl-Kennung jeder Komponente.

JSON

SPDX 2.3

— Der Standard der Linux Foundation, auf Lizenzen ausgerichtet.

— Nützlich für die Open-Source-Compliance.

— Dieselben Komponenten, in einer anderen Struktur.

In der Praxis

Von der Analyse zur Datei

Die SBOM folgt immer der letzten Analyse des Projekts.

Projekt öffnen

Die SBOM übernimmt die letzte abgeschlossene Analyse oder eine bestimmte Analyse.

Format wählen

CycloneDX oder SPDX, als JSON.

Herunterladen oder per MCP abfragen

Die SBOM-Zusammenfassung steht auch Ihren KI-Assistenten zur Verfügung.

Weitere Exporte

Für Ihre Kunden und Ihre Audits

PDF

Druckbarer Bericht

Eine Seite pro Projekt, als PDF für einen Bericht zu speichern.

CSV und JSON

Rohdaten

Für Ihre Tabellen und Skripte.

Link

Öffentliche Freigabe

Der Score des Projekts und dessen Entwicklung, ohne Konto.

Häufige Fragen

Zu SBOMs

Deckt die SBOM transitive Abhängigkeiten ab?
Sie übernimmt alles, was das Lockfile beschreibt. Mit Lockfile sind transitive Abhängigkeiten enthalten.
Reicht die SBOM für den CRA?
Nein, nicht für sich allein. Der CRA verlangt eine maschinenlesbare SBOM, was CycloneDX und SPDX sind, aber auch ein Schwachstellenmanagement und eine technische Dokumentation, von der die SBOM nur ein Teil ist. Siehe was CRA und NIS2 verlangen.
Kann ich sie in Dependency-Track importieren?
Ja. Die CycloneDX-1.5-Datei im JSON-Format lässt sich wie jede CycloneDX-SBOM in OWASP Dependency-Track importieren.

Ihre SBOM wartet nach der ersten Analyse auf Sie.

14 Tage kostenlos testen