SBOM WORKFLOW
四步驟完成軟韌體分析與 SBOM 監控
從上傳原始碼或二進位軟韌體，銜接元件解析、標準格式匯出與持續監控。
- 01→
上傳軟韌體
系統解包與分析軟韌體，建立元件、版本及授權資訊。
- 02→
產製 SBOM
產生軟體物料清單，分析漏洞、開源授權及元件關聯。
- 03→
匯出報告
以 SPDX、CycloneDX 等格式匯出，供交付、稽核或第三方驗證使用。
- 04
持續監控
追蹤新漏洞及元件生命週期資訊，支援產品上市後的持續維護。
SBOM、分析報告、VEX 與版本差異紀錄，讓軟韌體分析結果能在研發與供應鏈之間交換、審閱及追蹤。
HIGHLIGHTS
從軟體組成到敏感資訊，建立可追溯的分析資料。
SBOM 自動生成與版本管理
盤點軟體元件、版本及授權資訊，輸出 SPDX／CycloneDX 格式，並保留版本變更紀錄，支援後續資料交換與追蹤。
已知漏洞分析
對應已知 CVE 與 NVD 漏洞資訊，將風險連回產品元件，並結合 VEX 支援漏洞影響狀態的整理。
原始碼與二進位分析
同時支援原始碼與二進位軟韌體分析；在無法取得原始碼或完整元件資料的情況下，仍可從二進位檔案進行盤點。
敏感資訊檢查
檢查軟韌體中的憑證、API 金鑰與私鑰等敏感資訊，支援開發流程與出貨前安全檢視。
不是只找元件，而是讓 SBOM 能持續使用。
DAFA 結合原始碼與二進位分析，將元件、版本、開源授權、已知漏洞與生命週期資料連在一起。工具、人工與第三方清單可整併管理，分析結果也可依工程審閱修正。
從研發輸入，連到出貨與供應鏈交付。
DevSecOps 團隊可將分析接入 CI/CD；產品發布前可檢視漏洞、授權及敏感資訊；供應商軟韌體驗收則可利用二進位分析補充元件資料。SPDX／CycloneDX 匯出與版本紀錄，讓同一份 SBOM 資料支援不同交付情境。
COMPONENT ANALYSIS
整合不同來源的元件資訊。
不只產生一份掃描結果，也讓元件清單能被補充、修正與持續維護。
原始碼分析
從可取得的原始碼分析軟體組成、版本及授權資訊，支援開發階段的 SBOM 工作。
二進位分析
對封裝完成的軟韌體進行元件分析，補充無原始碼或第三方交付軟體的盤點資料。
多來源清單整併
整合工具產生、人工補充及第三方提供的元件清單，集中維護 SBOM 資訊。
人工確認與修正
允許人工調整元件或授權資訊，保留工程判斷，不將自動分析結果當成不可修正的結論。
VULNERABILITY & LIFECYCLE
把漏洞與生命週期，連回產品元件。
結合已知漏洞、VEX 與元件生命週期資訊，讓分析結果可用於產品風險討論。
CVE 與漏洞資訊
將識別的元件與版本對應已知漏洞資訊，形成後續影響評估的起點。
VEX 影響狀態
以漏洞可利用性交換資訊支援受影響狀態的整理與溝通，區分漏洞被發現與產品實際受影響的判斷。
生命週期與支援期限
掌握元件生命週期及支援期限，讓產品團隊規劃更新、替換或後續維護工作。
OPEN SOURCE LICENSES
讓開源授權資訊可查找、可修正、可追蹤。
把授權盤點與報告納入 SBOM 工作，提供後續審閱所需的元件依據。
授權識別與盤點
識別元件的開源授權資訊，集中整理產品使用的套件與授權清單。
分析與報告
將授權分析結果提供給產品、工程與審閱團隊，支援後續合規檢視。
修正與歷程保留
支援授權資訊的人工調整，保留版本與修改紀錄，減少資料修正後重新整理的工作。
APPLICATIONS
從開發到驗收，讓分析結果進入實際流程。
DevSecOps 整合
串接開發與 CI/CD 流程，將軟韌體分析納入持續性工程工作。
出貨前驗證
在產品交付前檢查軟體組成、已知漏洞、授權與敏感資訊。
第三方軟韌體驗收
分析供應商交付的軟韌體，整理可用於驗收討論的元件與風險資料。
稽核與客戶溝通
以標準格式 SBOM、分析報告與版本紀錄支援文件交付及後續追蹤。
OUTPUT & TRACEABILITY
可交換的格式，可追溯的產品資料。
以標準格式、版本管理與資訊整併，支援跨團隊及供應鏈使用 SBOM。
| 資料項目 | 支援方向 |
|---|---|
| SPDX／CycloneDX | 匯出機器可讀的標準 SBOM 格式，支援資料交換。 |
| 版本差異與紀錄 | 追蹤元件清單與產品版本變動，保留更新紀錄。 |
| VEX 與漏洞關聯 | 串接漏洞資訊及影響狀態，支援產品團隊後續確認與溝通。 |
| 多來源整併 | 整合工具、人工與第三方元件資訊，集中維護產品資料。 |
PRODUCT INFORMATION
分析能力與資料整合
| 項目 | 內容 |
|---|---|
| 分析輸入 | 原始碼與二進位軟韌體。 |
| 分析資訊 | 元件、版本、開源授權、已知漏洞、敏感資訊與元件生命週期。 |
| SBOM 格式 | SPDX、CycloneDX。 |
| 漏洞影響資訊 | 漏洞關聯及 VEX 相關工作。 |
| 資料維護 | 多來源清單整併、版本差異、人工資訊修正與歷程紀錄。 |
| 流程整合 | DevOps／CI/CD 與持續監控。 |
NEXT STEP
開始規劃軟韌體分析工作。
從產品與軟體資料，討論適合的分析及整合方向。