SBOM と VEX のエクスポート
Aikido から CycloneDX、SPDX、または CSV 形式のソフトウェア部品表をエクスポートし、セキュリティチームが必要とする場合は VEX の悪用可能性ステートメントを追加します。
監査人、顧客、または調達チームからソフトウェアの機械可読インベントリを求められた場合、必要なのはファイル形式と、エクスポートの対象範囲を明確に示す境界です。このページではその両方を提供します。項目レベルの詳細は SBOM.
今日エクスポートできるもの
SBOM
CycloneDX 1.6、SPDX 2.3、CSV
ダッシュボードとAPI
VEX
CycloneDX 1.6
ダッシュボード。CycloneDX SBOM のエクスポート時のオプションとして
SBOM（Software Bill of Materials）は、ソフトウェア内のすべてのオープンソースコンポーネントを列挙します。つまり、それが何で、どのバージョンを使っていて、誰が作成し、どのライセンスの下にあるかを示します。VEX（Vulnerability Exploitability eXchange）文書はさらに踏み込み、各脆弱性について、影響を受けているかどうかとその理由を示します。監査人は通常 SBOM を求めます。あなたの下流にいるセキュリティチームは通常、両方を求めます。
Aikido は現在のスキャンデータから必要に応じて両方を生成します。エクスポートは即時で、キューに入ることはありません。
3つの CycloneDX オプションと、その使いどころ
エクスポートダイアログで CycloneDX を選ぶと、3つのトグルが表示されます。
VEX 分析を含める 脆弱性ごとの悪用可能性の記述を追加します。受け手がセキュリティチームの場合、またはインベントリとあわせて能動的な脆弱性管理を示す場合に有効にしてください。
パッケージのハッシュを含める パッケージごとにハッシュを追加します。これにより、受け手はコンポーネントがバイト単位であなたの一覧どおりであることを検証できます。M&A、調達、改ざんの証跡が重要なケースではこれを有効にしてください。
依存関係を含める 関係グラフを追加します。どのパッケージが直接依存で、どれが推移的に取り込まれているかを示します。
SBOM が純粋にライセンス追跡のためだけなら、3つともオフのままにしてください。 SBOM 同じオプションを項目ごとに説明しています。
CycloneDX VEX では、Aikido は悪用可能性を analysis.state フィールドで記録し、推奨アクション（たとえば修復の助言）は analysis.response フィールドに記載されます。
エクスポートの経路
ダッシュボードから
Licenses & SBOM を開く
次へ移動します： レポート > ライセンスと SBOM.
単一コンテナから
コンテナを開き、次を選択します Actions > Export RAW SBOM。これは、レポートレベルのフィルターに関係なく、その 1 つのコンテナイメージのみを返します。参照: コンテナのRAW SBOMをエクスポートする.
APIから
Export SBOM エンドポイントを使って、SBOM をプログラムで生成・ダウンロードします。コードリポジトリとコンテナは、ダッシュボードの分かれ方に合わせて別々のエンドポイントがあります。
以下を参照してください API 認可ドキュメント をあなたの API キーに対して。
1つの文書か、複数か？
どの経路を取るかによって、1つの統合ファイルをエクスポートすることも、コンテナごとに1つのファイルをエクスポートすることもできます。
1つの文書。 からのフィルターなしのエクスポート レポート > ライセンスと SBOM は、コードリポジトリ、コンテナイメージ、そして自己申告の SBOM アップロードを 1つのファイルにまとめます。自己申告アップロードが含まれるのは、コンテナエントリとして保存されるためです。
個別の文書。 個別のコンテナページからのエクスポート、またはコンテナごとの API エンドポイントからのエクスポートは、そのコンテナだけを返します。
SBOM を求められたら 1つの文書を使ってください。顧客が出荷済みの 1つのイメージについて尋ねてきた場合は、別の文書を使ってください。
Buildroot や Yocto のような組み込みビルドから生成された自己作成 SBOM は、 Upload Container SBOM APIを通じてアップロードできます。その後、次の下に表示されます コンテナ のレジストリラベル 自己申告 SBOM。 オープンソースパッケージに基づいてSBOMを生成する ビルドコマンド用に。
形式を自分で確認する
自分のアカウントから CycloneDX 1.6 をエクスポートし、形式を確定する前にそのファイルをあなたのパイプラインに通してください。完全な SBOM には、コンポーネント、バージョン、供給元、ライセンスが一覧表示されます。次をオンにしてください VEX 分析を含める 脆弱性ごとの悪用可能性の記述を追加するために。あのファイルは、あなたのアカウント内のどのプロジェクトでも得られるのと同じ出力です。
パイプラインが SPDX 2.3 または CSV を想定している場合は、 レポート > ライセンスと SBOMから直接それらをエクスポートしてください。CycloneDX は最も詳細な情報を持ちます。VEX、パッケージハッシュ、依存関係グラフは CycloneDX のみです。参照: 範囲と制限.
範囲と制限
ここは監査人がよく確認し直すポイントです。
エクスポートは、エクスポート時点の現在の依存関係グラフを反映します。Aikido は最新のスキャンデータからその場で生成します。
Aikido が保持するのは現在の状態です。ある日付時点でソフトウェアに何が含まれていたかを証明するには、自分でスナップショットを保存してください。下のパターンを参照してください。
コンテナの対象範囲はレイヤーレベルです。スキャンされたコンテナレイヤー内のパッケージが含まれます。マニフェストのないファームウェアイメージや実行ファイルについては、ビルド時に SBOM を生成し、自己申告 SBOM としてアップロードしてください。
VEX は CycloneDX のみです。SPDX と CSV のエクスポートはインベントリを一覧表示します。
推奨パターン: ある時点の証跡
ある日付時点でソフトウェアに何が含まれていたかを証明する必要がある場合（リリース監査、Cyber Resilience Act（CRA）や Medical Device Regulation（MDR）の義務、または保持条項付きの顧客契約など）、SBOM アーカイブを自社側で構築してください。ファイルをエクスポートして技術文書に保存するだけの定期ジョブで済みます。
定期的にエクスポート
から手動でエクスポート レポート > ライセンスと SBOM、または次を通じて自動化します Export SBOM エンドポイント.
Aikido は、監査人が求める形式で、必要なときに現在の状態を提供します。タイムラインはあなたが保持し、定期エクスポートするだけで十分です。
関連
SBOM：エクスポートダイアログを項目ごとに
CRA コンプライアンス：Aikido が CRA コンプライアンスをどのように実現するか
オープンソースライセンス：パッケージごとのライセンスリスクとライセンスグループ
オープンソースパッケージに基づいてSBOMを生成する：Buildroot、Yocto、および自己申告アップロード
セキュリティ監査レポート：監査人が SBOM とあわせて求める共有可能なレポート
コンプライアンス報告：ISO 27001、SOC 2、その他のフレームワークレポート
ヘルプが必要ですか？
を開き、 Intercomチャット 右下隅にあります。私たちのチームがお手伝いします！
最終更新
役に立ちましたか？