报告里的组件版本是1.4，扫描结果里却显示1.6，准备提交材料时碰到这种情况，不能直接把报告中的数字改掉。报告可能引用了早期清单，扫描结果也可能来自另一个软件包，两边各自正确，却没有对应到同一批交付文件。Cybellum会汇集扫描、外部清单和人工核验信息，整理证据时，应当保留这些材料的来源和版本关系。查清差异出现在哪个环节，比反复生成报告更有用。

　　一、Cybellum如何整理产品安全分析与合规证据

　　整理材料前，先明确本次分析针对哪一版产品。开发中的组件、已经发布的固件和供应商送检包，应分别对应自己的记录，不能仅凭产品名称相同就混用。

　　1、确定本次材料对应的交付版本

　　产品名称只能帮助找到对象，构建标识和输入文件才能说明实际分析了什么。同一版本号下重新打包过软件时，也应保留能够区分材料的记录。

　　①打开目标产品版本的【SBOM】，核对版本、分支及所包含的组件范围。

　　②对照扫描任务，记录输入文件、构建标识和完成时间，将供应商【SPDX】或【CycloneDX】文件归入对应材料。

　　2、整理组件清单中的来源差异

　　①在【SBOM】中查找同名组件，分别核对供应商和【Version】。

　　②对已有【CPE】、【PURL】的组件，检查它们是否指向同一软件包。

　　③对照原始扫描和供应商清单，记录重复项、识别差异及人工修订依据。

　　④按项目流程完成清单校验，核对【Approved】状态和审批记录。

　　3、让分析材料对应合规证据

　　①打开目标产品的【Evidence Creation Center】，选择本次使用的框架或内部要求。

　　②核对其中引用的【SBOM】和安全分析材料，检查产品版本是否一致。

　　③生成报告后，保留报告文件、生成时间及对应材料目录。

　　证据材料不只是一份组件清单，还可能包括漏洞处置、测试记录和供应商说明。它们可以形成于不同日期，但应说明适用范围。例如，旧版组件的测试结论能否用于新版本，需要有核验依据，不能在组件升级后直接沿用。

　　二、Cybellum合规报告中的组件信息与扫描结果不一致如何复核

　　发现差异时，可以选一条具体组件记录，从报告查回清单，再查到原始扫描。把这条记录的来源弄清楚，通常就能缩小需要检查的范围。

　　1、沿时间和版本关系查找引用材料

　　报告生成之后，平台中的组件数据可能又被修改。拿当前页面与历史报告对照，出现不同并不意外，关键是确认报告当时引用的材料。

　　①在报告中找到异常组件，记录名称、版本及所属产品。

　　②打开对应【SBOM】，检查【Version】，再核对清单的审批时间。

　　③返回扫描任务，检查输入文件和完成时间，确认是否属于同一构建。

　　④若引用版本不同，切换到相同版本的【SBOM】重新比较，记录差异是否仍然存在。

　　2、核对名称、版本字段和统计范围

　　①在【SBOM】中同时查看组件的【Version】与【Latest】，检查报告采用哪项信息。

　　②将报告中的异常组件与扫描记录逐项对应，核对【CPE】、【PURL】及供应商信息。

　　③检查报告是否只覆盖部分模块，以及是否应用了组件标签或【SBOM】报告排除设置。

　　④对照产品级【SBOM】与模块清单，记录组件合并、去重及人工修订情况。

　　当前使用版本与可用更新版本不能混为一谈。组件数量也要结合范围判断，整份产品清单可能包含多个模块，扫描任务却只处理了其中一个包。同名组件存在不同版本时，还应保留它们各自的归属，避免为了让数量一致而合并记录。

　　三、Cybellum组件信息差异修正后怎样核对证据

　　确定原因之后，应处理产生差异的源头，再检查报告是否正确引用。原始扫描、经过校验的清单和正式报告各有用途，不必要求它们逐字相同，但每处变化都应能够解释。

　　1、区分输入错误和组件信息修订

　　扫描包选错，需要重新提交材料；清单中的组件身份识别有误，则应依据实际文件修订记录。两种问题的处理方式不同，不宜一律重扫，也不宜一律手工改版本。

　　①输入材料错误时，重新提交正确软件包，核对新【SBOM】关联的产品版本。

　　②组件信息错误时，对照实际交付文件及供应商说明，修订【Version】和已有的【CPE】、【PURL】信息。

　　③对已经审批的【SBOM】，按既有修订流程处理，保留修改依据并重新核验。

　　2、重新生成并比较报告内容

　　①使用修正后的【SBOM】和原报告相同的模板、范围，重新生成报告。

　　②对照新旧报告，检查异常组件、组件总数及引用的产品版本，记录仍未解决的差异。

　　重新生成只是检查修正是否传递到了报告。若平台清单已经正确，报告仍取到其他字段，应继续核对自定义模板的取值来源。排除设置也应保持一致，否则无法判断组件数量变化来自修正，还是来自报告范围变化。

　　3、抽查正文和附件中的组件记录

　　①从报告中分别选取升级过、人工修订过和来自供应商的组件，返回【SBOM】核对。

　　②证据包包含【VEX】或【CSAF】时，检查其中的产品版本和组件范围。

　　③按相关【CVE】编号核对漏洞处置记录，检查结论是否仍对应当前组件。

　　④保存报告、【SBOM】及核验记录，注明适用构建和材料日期。

　　总结

　　Cybellum能够把资产清单、安全分析和证据材料放在一起管理，减少准备报告时反复寻找文件的工作。材料之间的对应关系仍然需要维护，尤其是组件升级、供应商清单修订和产品重新打包之后。清楚记录数据从哪里来、适用于哪一版产品、经过哪些核验，后续交接和复查才有依据。希望这些方法能帮助大家查明组件信息差异，整理出便于阅读和追溯的安全材料。如有Cybellum相关需求，欢迎联系沟通。