구성 명세를 관리 자료로
빌드 과정이나 공급자로부터 받은 SBOM에는 소프트웨어에 포함된 구성 요소가 기록된다. Dependency-Track은 이런 자료를 받아 여러 프로젝트와 버전의 라이브러리와 컨테이너, 운영체제와 서비스 등의 정보를 관리한다. 일회성 파일 생성보다 구성 목록을 지속적으로 활용하는 플랫폼에 가깝다.
새로운 정보에 따라 재분석
소프트웨어가 바뀌지 않아도 사용 중인 구성 요소의 취약점이 나중에 알려질 수 있다. Dependency-Track은 여러 취약점 정보와 구성 요소를 대조하고 새로운 취약점이나 정책 변경에 따라 다시 분석한다. 보안뿐 아니라 운영과 라이선스 관련 위험을 살펴보는 흐름도 제공한다.
개발 흐름과 대응 연결
REST API와 CI 연계 도구, 웹 화면을 통해 SBOM을 입력할 수 있다. 정책 위반과 분석 결과를 확인하고 웹훅 등의 연동으로 팀의 대응 과정에 연결한다. 다만 관리 플랫폼의 결과는 입력 명세와 분석 정보에 바탕을 두므로 구성 목록의 정확성과 개별 진단의 적용 여부를 함께 검토해야 한다.
관련 문서
Dependency-Check / OSV-Scanner / CycloneDX / Syft / SBOM Tool