Agent Skills
返回列表
🔒

SBOM 生成与 CVE 匹配器

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/sbom-generator-cve-matcher

技能介绍

解决什么问题

供应链审计中，手动维护软件清单如同追踪流动的积木：每次镜像更新后，需重新核对依赖组件、版本号及对应的CVE漏洞，稍有疏漏便可能导致合规风险或安全事故。

核心能力与工作流程

该技能通过三步实现自动化：

  1. SBOM生成：使用Syft解析容器镜像，支持Alpine(apk)、Debian(dpkg)、RPM、Go、Python等数十种包生态系统，以及OCI、Docker、Singularity等镜像格式
  2. CVE匹配：将提取的组件信息提交至OSV.dev API，关联NVD CVE数据库，精准标记存在已知漏洞的依赖项
  3. 合规输出：生成CycloneDX和SPDX两种行业标准格式，满足供应链合规审计需求

适用边界与注意事项

  • 依赖上游工具Syft的稳定性，建议定期更新至最新版本
  • 对OCI制品的漏洞关联存在局限，复杂依赖树场景可能需要人工复核
  • 不同Syft版本对特殊包生态系统的支持程度存在差异，建议查看官方安装文档确认兼容性

使用场景

  • 团队需要为容器镜像生成软件物料清单，识别包含已知漏洞的依赖项
  • 安全团队要对某个镜像进行CVE匹配，评估供应链安全风险
  • 合规部门需要生成CycloneDX或SPDX格式的SBOM文档，满足审计要求
  • 开发者需要扫描Docker镜像中的所有依赖包，确保无已知安全漏洞

适合人员

  • DevOps 工程师需要为生产环境的容器镜像生成SBOM，确保符合合规要求
  • 安全分析师要评估容器镜像中的CVE漏洞，指导修复优先级
  • 供应链审计人员需要生成标准化的SBOM文档，满足监管审计需求
  • 软件架构师要评估项目依赖的供应链安全，识别潜在的第三方风险