SBOM 与资产管理
一项输入，为所有流程提供基础。
软件物料清单不是产品本身，而是产品运行所依赖的共享清单。Correlens 保持其清洁和最新，再把它提供给漏洞管理和威胁关联，使组件不再只是文件中的一行。
| 组件 | 版本 | 来源 | 提供方 | 许可证 | EOL | 漏洞 |
|---|---|---|---|---|---|---|
| gstreamer | 1.14.4 | OSS | upstream | LGPL-2.1 | 2027-01 | 29 |
| Adaptive AUTOSAR | R23-11 | 专有 | Tier-1 IVI | Commercial | – | 18 |
| wolfSSL | 5.6.3 | OSS | wolfSSL Inc. | GPL-2.0 | – | 6 |
| bluez | 5.66 | OSS | upstream | GPL-2.0 | 2027-03 | 9 |
| u-boot | 2021.10 | OSS | upstream | GPL-2.0 | 2026-12 | 4 |
| libexpat | 2.2.6 | OSS | upstream | MIT | – | 2 |
312 components · 41 proprietary · 271 OSS · 729 vulnerabilities · sha256 verified
验证与准入
获得干净的 SBOM，或明确知道未通过的原因。
每次导入都根据 NTIA 最低要素和 EU CRA 字段评分。过期或不完整的物料清单会在准入环节被发现，而不是几个月后才在审计中暴露。
- 导入时评分 每种格式都有明确的通过阈值。
- 逐字段验证 对照 NTIA 最低要素。
- 可导出 以 SARIF 报告形式用于 NTIA 和质量审查。
B
已通过关口 · 评分 84 / 100NTIA 最低要素 · CycloneDX 1.6
312 个组件 · 阈值 30
312 个组件 · 阈值 30
组件名称与版本312/312通过
供应商名称312/312通过
唯一标识符（CPE / purl）308/3124 项缺口
依赖关系312/312通过
映射产品
每个节点一行，忠实反映产品结构。
导入过程构建节点拓扑：控制器和计算单元，以及各自的组件、未解决漏洞和丰富状态。同一模型也适用于无人机飞控或智能交通路侧单元。
- 节点就是计算单元： 网关、域控制器、IVI、远程信息处理单元和区域控制器。
- 超越汽车： 飞控或充电控制器也以相同方式映射。
- 实时统计 每个节点的组件和漏洞数量。
Central GatewayAdaptive AUTOSAR · safety MCU
128 comp
21
IVI Head UnitAndroid Automotive
312 comp
47
ADAS ControllerQNX Neutrino
204 comp
12
Telematics (TCU)Automotive Grade Linux
156 comp
18
Zonal Controller (front)Classic AUTOSAR
64 comp
3
持续丰富
监控每个组件，丰富每项漏洞。
组件会持续与漏洞关联，而不是只在导入时处理一次。每项发现都通过关联威胁情报得到丰富，因此您不仅能看到 CVE，还能知道它是否正在被实际利用。
| 漏洞 | 组件 | CVSS | EPSS | 利用情况 | 可达性 | 状态 |
|---|---|---|---|---|---|---|
| CVE-2026-4187 | gstreamer 1.14.4 | 9.8 | 0.89 | confirmed exploited (KEV) | reachable | under review |
| CVE-2026-3350 | wolfSSL 5.6.3 | 8.4 | 0.42 | exploit available | reachable | to validate |
| CVE-2026-0915 | bluez 5.66 | 7.5 | 0.18 | PoC published | adjacent | to validate |
| CVE-2026-2044 | u-boot 2021.10 | 6.2 | 0.05 | no known exploit | not reachable | suppressed (VEX) |
利用情况由关联 CTI 丰富 · CISA KEV（已确认）· 利用代码可用性 · EPSS（预测性）
版本差异
两个版本之间发生了什么变化？
软件定义产品会持续发布新软件。在部署到现场之前比较任意两个版本，准确查看新增、删除和变更内容，以及漏洞数量的变化。这就是您的 R156 软件更新轨迹。
+505
新增
−86
删除
14
变更
−62
漏洞 Δ
0
许可证 Δ
| 变更 | 组件 | 版本 | 标识符 |
|---|---|---|---|
| 新增 | openssl | 3.0.14 | pkg:generic/[email protected] |
| 变更 | wolfSSL | 5.6.0 → 5.6.3 | pkg:generic/[email protected] |
| 删除 | openssl | 1.1.1w | pkg:generic/[email protected] |
| 变更 | bluez | 5.64 → 5.66 | pkg:generic/[email protected] |
每个版本在权威导入点进行比较 · 可导出为 R156 证据
可移植性
您的物料清单绝不会被锁定。
SBOM 首先是一种交换格式。您导入的内容会以更丰富的形式返回，平台获得的知识也会以其他工具已支持的格式输出。
丰富并返还您的 SBOM
从任意构建导入软件物料清单，再取回已为每个组件添加漏洞和 VEX 可利用性信息的版本，可直接交给链条中的下一个工具。
import CycloneDX / SPDX导出丰富结果 + VEX
例如，导入无人机飞控 SBOM，导出包含可达 CVE 的丰富清单。
SOC 可直接使用的情报
已确认事件或监视清单以可移植对象的形式离开平台，安全运营团队无需重新录入即可接收。
导入 / 导出监视清单导出 STIX 2.1
例如，将智能交通路侧单元事件导出到您的 SOC 和 PSIRT。