Produktüberblick
CRA Ledger verbindet SBOM Intake, Vulnerability Review, Remediation Tracking, Audit History und Readiness Reporting über Produktversionen hinweg.
CRA Ledger Produkt-Dashboard
Produktansicht
Beispiel einer Produktansicht — Portfolio Evidence, SLA-Druck und Review-Fortschritt.
Guided Pilot Access
No-cost 30-Tage Guided Pilot für 1–3 Produktversionen oder SBOMs.
Wir ordnen vorhandene Release Evidence, richten SBOM-Komponenten-Tracking und Background Vulnerability Alerting ein, erfassen Review-Entscheidungen, Owner und Zeitstempel, identifizieren Lücken und bereiten ein Draft Product-Version Evidence Pack vor.
Produktfunktionen
Eine strukturierte Arbeitsebene für Product-Version Evidence, SBOM Intake, Vulnerability Review, Remediation-Arbeit und erhaltene Aktivitätshistorie.
Verbinden Sie SBOMs, Findings und Evidence mit Produkt-/Versionskontext für erhaltene Release-Historie.
Hängen Sie unterstützende Dateien oder externe Referenzen an Vulnerability-Review-Entscheidungen.
Erfassen Sie Review-Status, Begründung, Details und Reviewer-Kontext.
Bewahren Sie Owner-, Reviewer- und Zeitstempel-Kontext über Review- und Evidence-Aktivität.
Laden Sie SBOM-Dateien über den Produktworkflow oder authentifizierte Intake-Endpunkte hoch.
Erkennen und parsen Sie unterstützte CycloneDX- und SPDX-Formate für Review.
Überführen Sie Komponentendaten in strukturierte, durchsuchbare Component Records.
Bewahren Sie Upload-Artefakte mit Quellenmetadaten und SHA-256-Hash-Records.
Halten Sie Dateinamen, Upload-Metadaten und Content Hashes an Evidence gebunden.
Reviewen Sie CVE-Findings gegen normalisierte Komponenten-Inventare.
Verfolgen Sie Severity, Review-Status und Ownership über Vulnerability Findings.
Zeigen Sie überfällige und zeitkritische Review-Pressure anhand von Severity-Zeiträumen.
Erfassen Sie Remediation-Status, Notizen, Resolved Dates und unterstützende Evidence-Referenzen.
Bewahren Sie Review Records, Evidence Attachments, Report-Historie und Ingestion-Aktivität.
Verfolgen Sie tenant-scoped operative und Review-Aktivität für spätere Prüfung.
Bereiten Sie Product-Security Summaries und Reports für Readiness-Gespräche vor.
Laden Sie verfügbare Reports und Evidence Summaries herunter, ohne rechtliche Zertifizierung zu behaupten.
Notification Delivery ist verfügbar, wenn konfiguriert; Alert-Abdeckung wird weiter ausgebaut.
Programmatischer SBOM Intake existiert für authentifizierte Workflows, nicht als breites öffentliches API-Programm.
Webhook Subscriptions unterstützen Intake Events; breitere Integrationsabdeckung reift weiter.
Finding-Status-Alerts direkt in Engineering-Kanäle senden.
Findings aus externen Scannern und Registries synchronisieren.
Workspace-Daten, Reports und Audit-Historie bleiben im Tenant-Kontext.
Rollen helfen, Least-Privilege-Zugriff auf Evidence Workflows umzusetzen.
Administratoren sehen Audit Records zu Konfigurationsänderungen.
Ein öffentlicher Kontaktpfad steht für Responsible Security Reports bereit.
Workflow Outcomes
Halten Sie Product-Security-Arbeit vom Intake bis zu releasefähiger Evidence verbunden.
SBOMs, Findings, Entscheidungen und Remediation-Historie bleiben an eine Produktversion gebunden.
CVEs, Owner, SLA-Druck und Review-Entscheidungen bleiben in einem Workflow sichtbar.
Original-Uploads, Entscheidungen, Zeitstempel und Evidence-Historie bleiben für CRA-Readiness erhalten.
Process Flow
Eine systematische Pipeline, die rohe Engineering-Artefakte in erhaltene Product-Security Evidence Records überführt.
Registrieren Sie ein Softwareprodukt und definieren Sie seine Release-Version.
Laden Sie CycloneDX- oder SPDX-Dateien hoch, um das Komponenten-Inventar zu indexieren.
Parsen und mappen Sie Komponenten-Koordinaten für strukturierten Review.
Triagieren Sie CVEs mit Severity-Details, Review-State und Entscheidungen.
Behalten Sie SLA-Druck, Remediation-Status und Review-Updates im Blick.
Bewahren Sie Upload-Artefakte, Entscheidungen und Reviewer-Zeitstempel.
Bereiten Sie Evidence Summaries und Reports für Release-Readiness Reviews vor.
Deliverables
CRA Ledger hilft Teams, SBOMs, Vulnerability Decisions, Remediation-Kontext, Zeitstempel, Reviewer-Kontext und Audit Activity mit der jeweiligen Produktversion verbunden zu halten.
Bewahren Sie rohe CycloneDX- und SPDX-Dateien mit Quellenmetadaten und SHA-256-Hash-Records.
Vulnerability Decisions können Begründung, Reviewer-Kontext, Status und Zeitstempel dokumentieren.
SLA-State, Finding-Status und Remediation-Notizen bleiben mit betroffenen Komponenten verbunden.
Historische Logs verfolgen Re-Analysen, Imports und Benutzeränderungen.
Summaries und Reports unterstützen Readiness-Gespräche, ohne rechtliche Zertifizierung zu behaupten.
Produktstatus
CRA Ledger unterscheidet verfügbare Produktfähigkeiten von reifenden Workflow-Bereichen und Roadmap-Ideen, damit Pilot-Teams ohne Roadmap-Unklarheit evaluieren können.
Aktuelle Workflow-Bereiche, die heute in CRA Ledger verfügbar sind.
Capabilities, die heute eingeschränkt existieren oder von Konfiguration, Workflow-Abdeckung oder Kundensetup abhängen.
Zukünftige Produktrichtungen, getrennt ausgewiesen, damit Käufer Bestehendes von Geplantem unterscheiden können.
Trust und Scope
CRA Ledger hilft, Product-Security Evidence und CRA-Readiness Workflows zu organisieren. Es stellt keine rechtliche Zertifizierung, keine Notified-Body-Freigabe und keine Compliance-Garantie bereit.
Next step
Buchen Sie eine fokussierte Produktdemo des SBOM-to-Evidence Workflows.
