Configuration des intégrations Deps.dev, OSV.dev et PaCE pour Nomenclature logicielle

  • Rversion finale: Yokohama
  • Mis à jour 28 févr. 2025
  • 3 minutes de lecture

    • Vous pouvez modifier certains des paramètres des intégrations Deps.dev et OSV.dev. Il existe également deux versions de déclencheur de code de ces intégrations qui sont utilisées uniquement pour les workflows internes, et vous ne devez pas initier ces intégrations à la demande. En outre, vous pouvez activer une tâche planifiée pour créer des politiques à l’aide de Policy as Code Engine (PaCE).

    Intégrations de déclencheurs de code pour les workflows internes

    À partir de la version 3.2 de SBOM Response, les améliorations des performances comprenaient l’ajout de deux intégrations OSV.dev et Deps.dev déclencheurs de code :
    • Intégration OSV (déclencheur de code à la demande)
    • Intégration Deps.dev (déclencheur de code à la demande)
    Ces intégrations sont lancées automatiquement par des workflows internes et sont destinées à un usage interne uniquement. Bien que vous puissiez les localiser, vous ne devez pas initier ces intégrations sur demande avec le bouton Exécuter maintenant à partir de leurs enregistrements d’intégration.

    Configuration du calendrier d’exécution pour l’intégration Deps.dev

    Pour modifier le calendrier, accédez à Tout > Réponse aux vulnérabilités > Administration > Intégrations > Intégration Deps.dev. Le rôle sn_vul.app_configure_integrations est requis pour modifier le calendrier de cette intégration.

    Cette intégration Deps.dev est utilisée pour identifier les composants qui sont à l’état périmé et abandonné . La version d’un composant périmé a plus de deux versions majeures de retard sur la dernière version et deux ans de retard sur la dernière version. Un composant abandonné n’a pas été mis à jour depuis plus de deux ans. Les seuils de deux ans et de deux versions peuvent être modifiés avec les propriétés système. Pour modifier ces paramètres, accédez à Tout > Propriétés système > Toutes les propriétés et localisez les enregistrements suivants :
    • sn_sbom_resp.pkg_abandoned_threshold
    • sn_sbom_resp.pkg_stale_threshold
    • sn_sbom_resp.pkg_stale_version_threshold

    L’intégration Deps.dev est installée avec SBOM Response. L’intégration est activée (case Actif cochée sur l’enregistrement d’intégration) par défaut et planifiée pour s’exécuter toutes les semaines. Notez qu’il ne s’agit pas de l’intégration de déclencheur de code de Deps.dev à la demande et que vous pouvez modifier le calendrier et lancer la tâche planifiée sur demande à partir de son enregistrement d’intégration. .

    Les valeurs de seuil pour les éléments abandonnés et périmés sont exprimées en mois. La valeur de seuil de la version est numérique.

    Vous pouvez afficher les données importées sur la page d’accueil de l’espace de travail et dans le module File d’attente BOM. Les données importées sont stockées dans la table Groupes de packages [sn_sbom_pkg_group].

    Configuration et lancement de l’intégration OSV.dev : complète

    L’intégration complète de OSV.dev est installée avec SBOM Response. L’intégration est activée par défaut (case Actif cochée sur l’enregistrement d’intégration). Notez qu’il ne s’agit pas de l’intégration de déclencheurs de code de OSV.dev à la demande et que vous devez initier cette intégration sur demande à partir de son enregistrement d’intégration.

    Pour configurer et lancer cette intégration, accédez à Tout > Réponse aux vulnérabilités > Administration > Intégrations > Intégration OSV.dev : complète. Le rôle sn_vul.app_configure_integrations est requis.

    Vous pouvez afficher les données importées sur la page d’accueil de l’espace de travail, sous l’onglet Vulnérabilité, sur les enregistrements de la liste des entités et dans le module Bibliothèques. Les données importées sont stockées dans les tables Entrées vulnérables de l’application [sn_vul_app_vul_entry] et Entrées de base de données de vulnérabilité nationale [sn_vul_nvd_entry].

    Remarque :
    Vous pouvez configurer le paramètre d’intégration OSV.dev dans l’onglet Paramètres d’intégration batchSize de l’instance Open Source Vulnerabilities située à Tout > Réponse aux vulnérabilités > Administration > Intégrations > Intégrations de vulnérabilité > Instance de vulnérabilités open source. La valeur par défaut est de 75 PURLS par appel d’API.

    Vous préférez peut-être conserver cette valeur dans son paramètre par défaut. La modification de la valeur peut avoir un impact sur les performances.

    Activation de PaCE

    À partir de la version 4.0 de SBOM Response, vous pouvez afficher les composants identifiés comme périmés ou abandonnés comme « non conformes » dans l’interface Policy as Code Engine (PaCE) disponible dans l’espace de SBOM travail.

    • Déterminez si les composants sont périmés ou abandonnés avec la Run PaCE policies for SBOM Response tâche planifiée. Cette tâche planifiée est désactivée par défaut.
    • Affichez les composants identifiés comme périmés ou abandonnés comme non conformes dans l’interface PaCE disponible et affichée dans l’espace de SBOM travail.

    Consultez la section Integrating PaCE with other applications pour plus d’informations sur PaCE et les politiques PaCE.