OPSWAT 能為 SBOM 提供：
確保軟體供應鏈的安全與合規。透過OPSWAT （Software 物料Software ），開發人員能夠識別已知漏洞、驗證授權，並針對 OSS（開源軟體）、第三方依賴項及容器生成元件清單。
- Supply Chain 透明度
- CycloneDX 與 SPDX 中的 SBOM
- 漏洞分析
OPSWAT 獲得以下機構的信賴
自動生成
的SBOM
CycloneDX 與 SPDX 格式
700萬+
第三方開源
Software
CI/CD 管道與
的整合
授權資訊
漏洞意識
隱藏的依賴關係讓您的Software 風險
Software 可見性不足
開發團隊仰賴開源儲存庫和第三方元件。若缺乏集中式的軟體物料清單（SBOM），組織便無法掌握應用程式或容器中內嵌了哪些軟體。
合規與法規要求
歐盟《CRA 法規》、NIS2 指令、第 14028 號行政命令以及 NIST 框架等規範，均要求組織披露軟體組成與風險。手動建立軟體組件清單（SBOM）不僅耗時、結果不一致，且在快速變化的開發流程中難以維持。
未知且未修補的漏洞
當新的 CVE 漏洞浮現時，未採用自動化 SBOM 的團隊將無法迅速識別受影響的依賴項。這將延遲事件應對、延長暴露時間，並增加整個軟體供應鏈的資安漏洞風險。
分析、檢測、生成
「來源國」引擎會分析檔案指紋與元資料，以判定地理來源並觸發基於政策的動作。
步驟一分析原始碼與容器
掃描軟體二進位檔及容器映像層，以在開發生命週期中識別嵌入的軟體元件，避免未知風險影響生產環境。
- 步驟二
偵測元件與漏洞
自動識別開源及第三方元件，並將其與已知漏洞進行關聯，讓資安團隊能清楚掌握風險暴露狀況及修復優先順序。
- 步驟三
將 SBOM 匯出為標準化格式
產生符合 SPDX 或 CycloneDX 格式的機器可讀 SBOM，以協助符合法規要求、簡化供應商稽核流程，並與資安及 GRC 工作流程整合。
您負責開發解決方案，我們負責管理風險。
識別與追蹤開源Software—
自動識別開源元件，並監控來自 500 萬個函式庫的關鍵軟體更新與漏洞修補程式。
用於工具互操作性的標準化 SBOM 結構
及
透過 SPDX 和 CycloneDX 格式支持 SBOM 標準化，以便更輕鬆地進行生成、分享和使用。
偵測
Software 容器中的漏洞
透過將軟體元件與 GHSA、CVE 和 EUVD 等可信賴的漏洞資料庫進行比對，以識別並降低原始碼和容器中的風險暴露。
阻止威脅滲透您的Software
結合 Metascan™Multiscanning Proactive DLP™ 技術，可主動偵測超過 99% 的已知惡意軟體，並防範隱蔽型漏洞利用。
靈活且自動化的
掃描
透過專為資安工程師及 GRC（治理、風險與合規）團隊量身打造的即時報告，持續評估法規及內部資安準則。
避免使用不符合「
」規範的授權條款
驗證並使用已獲批准的開源軟體（OSS）及第三方依賴項授權。識別高風險授權，例如 GPL、AGPL、MIT 等。
保護軟體安全的統一解決方案
透過統一的開發者安全平台
，一次掃描您的程式碼與容器，並識別開源依賴項中的依賴關係與漏洞。
提供對掃描過程中識別出的所有軟體元件及漏洞的檢視功能。
顯示每個套件所對應的授權類型，以及其偵測到的版本和可用的升級版本。
包含已知漏洞的重點彙整，並依嚴重性提供詳細的 CVE 分類，以協助團隊優先處理修復工作。
支援將掃描結果匯出為多種報告及 SBOM 格式，包括 CycloneDX 和 SPDX。
匯入現有的 SBOM 報告以驗證其準確性，並根據最新的威脅情報自動標示缺失的 CVE。
上傳任何單一檔案，即可立即生成 SBOM 並進行漏洞分析——無需整合儲存庫。
軟體物料清單提供對掃描過程中識別出的所有軟體元件及漏洞的檢視功能。
- 授權與版本
顯示每個套件所對應的授權類型，以及其偵測到的版本和可用的升級版本。
- 存在漏洞的套件
包含已知漏洞的重點彙整，並依嚴重性提供詳細的 CVE 分類，以協助團隊優先處理修復工作。
- 匯出 SBOM 報告
支援將掃描結果匯出為多種報告及 SBOM 格式，包括 CycloneDX 和 SPDX。
SBOM 驗證與 CVE 資料豐富化匯入現有的 SBOM 報告以驗證其準確性，並根據最新的威脅情報自動標示缺失的 CVE。
- 檔案上傳掃描
上傳任何單一檔案，即可立即生成 SBOM 並進行漏洞分析——無需整合儲存庫。
整合功能與支援語言
使用案例
SBOM 代碼
使開發人員能夠識別、優先處理和解決開源依賴項的安全漏洞和許可問題。
適用於容器的SBOM
分析容器映像，併為包名稱、版本資訊和潛在漏洞生成 SBOM。
供應鏈安全的 SBOM
保護 透過單一平臺實現軟體供應鏈，以提高安全性、降低風險並交付安全的軟體。
資源
指南《2026 年 SBOM 指南：將合規轉化為安全資產》
部落格文章從《沙丘》到 npm：沙伊-胡魯德巨蠕蟲Supply Chain
- 部落格文章
沙伊-胡魯德 2.0：如何Secure Software Supply Chain 第二Supply Chain
- 部落格文章
最近的 ESLint 黑客事件Software Supply Chain 的隱憂提升到新的層次
- 部落格文章
20 億次 npm 下載面臨加密惡意軟體的風險：開放原始Supply Chain 安全的警號
- 部落格文章
Software Bill of Materials (SBOM) 解釋
- 部落格文章
軟體供應鏈安全：什麼是軟體供應鏈安全？
