软件构成分析

只有开发人员了解开源库的使用方式和使用位置的全部情境，因此，向他们提供反馈是修补漏洞的最佳方式。利用 Cortex Cloud 的原生开发人员工具集成和 CLI 工具的可扩展性，SCA 完全集成到开发人员工作流程中，因此，漏洞会在正确的时间出现在正确的位置：

• 将开源安全性集成到开发人员工具和工作流程中

  通过 IDE 和 VCS 提取/合并请求提供实时漏洞反馈，让开发人员有信心将新的数据包集成到他们的代码库中。

• 在整个生命周期中创建并执行自定义策略

  集成漏洞管理以扫描存储库、注册表、CI/CD 管道和运行时环境，并确定阻止或允许哪些软件。

• 在不进行重大更改的情况下修复问题

  获取推荐的最少更新以修复直接和可传递依赖项中的漏洞，而不会有破坏关键功能的风险。通过为每个数据包选择精细版本的灵活性，一次修复多个问题。

• 建立软件物料清单

  Cortex Cloud 将在存储库中定位依赖项并构建软件物料清单 (SBOM) 和基础架构物料清单 (IBOM)，并以标准格式导出。

不要等到手动合规性审查后才发现开源代码库不符合您的许可证使用要求。Cortex Cloud 对依赖关系的开源许可证进行编目，并可根据可定制的许可证策略提醒或阻止部署：

• 避免代价高昂的开源许可证违规

  尽早提供反馈并阻止基于开源数据包许可证违规的构建行为，为所有常用语言和数据包管理程序提供支持。

• 利用基于标准行业用途的默认策略

  开箱即用的策略为通用许可证类型提供了“顽固”的严重性级别，并为非标准许可证类型语言提供了模式匹配，以简化确定可接受用途的过程。

• 创建自定义策略以实施内部合规性要求

  基于许可证类型设置规则，以匹配非盈利版权和准许许可证的内部要求。通过 DevOps 工具集成尽早阻止违反策略的行为，企业可避免日后处理许可证不合规问题时的麻烦。