准备产品安全评估材料时，先确定报告对应的产品和固件版本，再核对漏洞、影响判断及处置记录。Cybellum支持通过自定义报告分享风险分析结果；若材料用于合规核查，还需选择相应的框架和证据。导出失败时，先分清报告没有生成，还是文件生成后未能下载。

同一产品往往有多个固件版本，上传的文件也可能来自研发、扫描工具和供应商。管理软件组件时，先确认正在处理哪个版本，再核对该版本的软件包清单。若出现识别错误，也要先找到出错的数据来源，才能改到正确的位置。

同一个CVE出现在多个组件里，不等于每款产品都会以同样方式受到影响。查影响范围时，至少要分清三件事：哪些产品版本包含相关组件，平台把哪些对象列为受影响，以及漏洞在具体设备环境中是否具备可利用条件。例如，同一软件库可能同时存在于已发布设备和测试中的固件里，产品名称相近，交付版本却不同。Cybellum会将SBOM、资产信息与漏洞数据关联，供用户按产品和组件查看结果。若受影响产品数量与实际交付情况对不上，就要沿着版本、组件和漏洞来源逐项核查。

设备软件里的组件可能来自固件、源代码和供应商清单。只分析其中一份材料，生成的SBOM就可能缺少实际使用的组件。Cybellum支持汇集二进制分析结果、源代码数据及外部SBOM，并对合并后的清单进行去重和校验。开展分析时，先确认产品版本，再核对每份材料是否进入了同一份清单。

Cybellum可以把产品安全要求整理成策略，用来检查产品组件、系统配置、漏洞、代码弱点以及OS加固项是否符合预设要求。平台既能使用已有法规或标准对应的要求，也能建立企业内部策略。策略已经创建却没有产生违规项时，不能只看规则内容，还要核对规则有没有应用到当前产品、分析数据是否包含规则需要的对象，以及产品版本更新后有没有重新完成评估。

Cybellum可以把开源软件、商业软件、供应商交付组件以及自研代码放进产品SBOM中统一管理，并结合组件版本、许可证、漏洞和供应商信息继续分析。第三方组件的数据来源并不总是一致，有的来自固件扫描，有的来自供应商提供的SBOM，还有一部分来自源码或已有资产文件，因此经常会碰到组件名称存在但版本号为空、供应商缺失、许可证无法识别或组件重复的问题。处理这类情况时，要先把组件归到正确的产品版本，再补齐能用于识别和风险匹配的关键字段。

Cybellum会把产品中的漏洞、组件、威胁信息和产品上下文汇总到风险视图中，并给出对应的Risk Score。这个分数不能只当成CVSS的换算结果来看，产品里到底用了哪些组件、漏洞是否具备可利用条件、影响多少产品版本，以及当前风险策略怎么设，都会改变实际排序。发现某个产品分数突然升高、不同版本分数差距很大，或者严重漏洞很多但产品Risk Score不高时，可以从风险数据、漏洞状态和产品范围几处逐项核对。

Cybellum可以把产品SBOM中的组件信息、漏洞信息和漏洞评估结果整理成VEX文档，用来说明某个漏洞对指定产品到底有没有实际影响。VEX和普通漏洞清单不一样，它除了记录漏洞编号，还要给出产品范围、影响状态以及处置说明。日常维护时，真正容易出问题的地方不是导出动作，而是漏洞状态没有及时更新，或者同一个漏洞在不同产品版本中的结论没有分开记录，最后导出的VEX就可能和当前产品情况对不上。

Cybellum进行固件安全分析时，会从最终交付的二进制文件中提取软件组件、系统配置、处理器架构、加密信息和潜在漏洞，再结合产品运行环境判断风险是否真正成立。处理“Cybellum怎么进行固件安全分析Cybellum固件扫描结果出现误报如何处理”时，不能把扫描列表直接当成整改清单，还要核对组件版本、编译配置、功能启用状态和漏洞可利用条件。

产品交付后，新的CVE、供应商通告和软件更新仍会持续出现。仅在发布前扫描一次，很难覆盖后续风险。“Cybellum怎么监控产品漏洞Cybellum漏洞风险优先级如何评估”的重点，是建立准确的产品资产关系，再结合可利用性和影响范围确定优先级。