OPSWAT SBOM
确保软件供应链的安全与合规。借助OPSWAT （Software 物料Software ），开发人员可以识别已知漏洞、验证许可证，并为开源软件（OSS）、第三方依赖项和容器生成组件清单。
- Supply Chain 透明度
- CycloneDX 与 SPDX 中的 SBOM
- 漏洞分析
OPSWAT 得到以下机构的信任
的自动化SBOM生成
CycloneDX 与 SPDX 格式
700万+
第三方开源
Software
CI/CD 管道与
的集成
许可信息
漏洞意识
隐藏的依赖关系让您的Software 风险
Software 可见性不足
开发团队依赖开源代码库和第三方组件。如果没有集中管理的软件物料清单（SBOM），企业就无法了解应用程序或容器中嵌入了哪些软件。
合规与监管要求
欧盟CRA、NIS2指令、第14028号行政命令以及NIST框架等法规要求组织披露软件组成和风险。在快速迭代的开发管道中，手动创建软件组成清单（SBOM）不仅耗时、结果不一致，而且难以维护。
未知且未修复的漏洞
当出现新的 CVE 漏洞时，没有自动化 SBOM 的团队无法快速识别受影响的依赖项。这会导致事件响应延迟，延长暴露时间，并增加整个软件供应链的漏洞风险。
分析、检测、生成
“来源国”引擎通过分析文件指纹和元数据来确定地理来源，并触发基于策略的操作。
步骤 1分析源代码和容器
扫描软件二进制文件和容器镜像层，在未知风险影响生产环境之前，识别开发生命周期中嵌入的软件组件。
- 步骤 2
检测组件与漏洞
自动识别开源和第三方组件，并将它们与已知漏洞进行关联，从而让安全团队清晰了解风险暴露情况及修复优先级。
- 步骤 3
将 SBOM 导出为标准化格式
生成符合SPDX或CycloneDX格式的机器可读软件物料清单（SBOM），以支持合规要求、简化供应商审核，并集成到安全及GRC工作流中。
您负责开发解决方案，我们负责管理风险。
识别与追踪开源Software——
自动识别开源组件，并监控来自500万个库的关键软件更新和漏洞补丁。
用于工具互操作性的标准化SBOM（
）结构
支持采用 SPDX 和 CycloneDX 格式实现 SBOM 标准化，以便更轻松地生成、共享和使用。
检测
Software 容器中的漏洞
通过将软件组件与 GHSA、CVE 和 EUVD 等可信漏洞数据库进行比对，识别并降低源代码和容器中的风险敞口。
阻止威胁渗透到您的Software
结合 Metascan™Multiscanning Proactive DLP™ 技术，可主动检测超过 99% 的已知恶意软件，并防范隐蔽的漏洞利用。
灵活、自动化的
扫描
通过专为安全工程师和GRC（治理、风险与合规）团队定制的实时报告，持续评估监管要求和内部安全准则。
避免使用不符合《
》许可协议的许可
验证并使用已获批准的开源软件（OSS）及第三方依赖项的许可证。识别高风险许可证，例如 GPL、AGPL、MIT 等。
确保软件的统一解决方案
通过统一的开发者安全平台
，扫描您的代码和容器，一次性识别开源依赖项中的依赖关系和漏洞。
提供对扫描过程中识别出的所有软件组件和漏洞的可视化信息。
显示每个软件包关联的许可证类型，以及其检测到的版本和可用的升级版本。
包含已知漏洞的汇总报告，其中按严重程度详细列出了CVE分类，以帮助团队确定修复优先级。
支持将扫描结果导出为多种报告和SBOM格式，包括CycloneDX和SPDX。
导入现有的 SBOM 报告以验证其准确性，并根据最新的威胁情报自动识别缺失的 CVE。
上传任意单个文件，即可立即生成 SBOM 并进行漏洞分析——无需集成代码库。
软件物料清单提供对扫描过程中识别出的所有软件组件和漏洞的可视化信息。
- 许可证与版本
显示每个软件包关联的许可证类型，以及其检测到的版本和可用的升级版本。
- 存在漏洞的软件包
包含已知漏洞的汇总报告，其中按严重程度详细列出了CVE分类，以帮助团队确定修复优先级。
- 导出 SBOM 报告
支持将扫描结果导出为多种报告和SBOM格式，包括CycloneDX和SPDX。
SBOM 验证与 CVE 信息增强导入现有的 SBOM 报告以验证其准确性，并根据最新的威胁情报自动识别缺失的 CVE。
- 文件上传扫描
上传任意单个文件，即可立即生成 SBOM 并进行漏洞分析——无需集成代码库。
集成与支持的语言
使用案例
代码 SBOM
授权开发人员识别、优先处理和解决开源依赖项的安全漏洞和许可问题。
容器的 SBOM
分析容器镜像，生成包含软件包名称、版本信息和潜在漏洞的 SBOM。
Supply Chain 安全 SBOM
Secure 软件供应链，以提高安全性、降低风险并交付安全软件。
资源
指南2026年软件材料清单指南：将合规转化为安全资产
博客文章从《沙丘》到 npm：沙伊-胡鲁德巨虫重新定义Supply Chain
- 博客文章
沙伊-胡鲁德2.0：如何Supply Chain 第二Supply Chain Secure Software Supply Chain
- 博客文章
最近的 ESLint 黑客事件将Software Supply Chain 问题提升到新的高度
- 博客文章
20 亿次 npm 下载面临加密恶意软件的风险：为开源Supply Chain 安全敲响警钟
- 博客文章
软件 Bill of Materials (SBOM) 解读
- 博客文章
软件 Supply Chain 安全：什么是软件供应链安全？
