同一产品往往有多个固件版本，上传的文件也可能来自研发、扫描工具和供应商。管理软件组件时，先确认正在处理哪个版本，再核对该版本的软件包清单。若出现识别错误，也要先找到出错的数据来源，才能改到正确的位置。

　　一、Cybellum怎么管理软件组件

　　Cybellum可将固件扫描、源代码分析和外部SBOM中的信息汇合到产品清单。平台里的固件组件属于资产，开源库、商业软件和自研软件则是资产内的软件包。两者所在层级不同，维护时需要分别核对。

　　1、选定产品和固件版本

　　①登录平台，依次点击【Asset Management】→【Components】，搜索目标设备或固件。

　　②打开组件详情，核对所属产品、版本号和已上传文件，再切换到本次需要维护的版本。

　　2、上传组件文件

　　①在组件列表点击【Create Component】，选择【Binary File(firmware)】。

　　②填写组件名称和版本，上传对应的固件文件，完成创建后返回该组件详情。

　　③检查文件名和版本信息；发现上传对象不符时，进入正确版本重新上传。

　　3、汇合软件包数据

　　①打开当前产品版本的SBOM页面，通过导入入口上传供应商提供的SPDX或CycloneDX文件。

　　②有源代码分析结果时，将结果关联到同一产品版本，再打开【Software】查看软件包列表。

　　③按名称搜索新增条目，逐项核对固件扫描、源代码分析和外部SBOM中的软件包。

　　4、整理并确认清单

　　①打开名称相近的软件包，核对各自的版本、供应商和数据来源。

　　②点击【CoPilot Insights】查看重复条目提示；确认属于同一软件及同一版本后再合并。

　　③检查软件包的标签和报表排除设置，确认清单内容无误后点击【Approve SBOM】。

　　二、Cybellum软件组件识别错误如何修正

　　名称对不上、版本不对、重复出现和报告中找不到条目，看起来都是“识别错误”，但处理位置并不一样。先打开出错条目的详情，确认产品版本与数据来源，再按下面的情况逐项检查。

　　1、排查产品版本是否选错

　　①返回【Components】，核对组件名称、产品归属和版本号。

　　②在【Software】中搜索出错软件包，对照本次构建记录及交付清单，确认该软件包应出现在哪个版本。

　　③若当前打开的是测试固件或旧版本，切换到正确版本重新查看，不要修改其他版本的条目。

　　2、修正外部SBOM中的错误

　　①打开出错软件包详情，检查数据来源是否为外部SBOM。

　　②找到已导入的原始文件，核对其中的软件包名称、版本和供应商信息。

　　③修正原始SBOM文件，将其重新导入对应产品版本，再检查清单中的条目。

　　3、处理扫描后未识别的软件包

　　①打开未识别条目的详情，核对其关联文件、原始名称和扫描来源。

　　②搜索标准软件包仓库，找到与实际文件及版本一致的已验证条目，再执行替换。

　　③标准仓库中没有合适条目时，检查自定义仓库；有交付资料佐证的自研软件，可补建自定义软件包记录。

　　4、核对版本和标识

　　①在软件包详情中查看版本、CPE和PURL，与构建依赖文件或供应商清单逐项比对。

　　②版本错误且来源为外部SBOM时，修改原始文件并重新导入。

　　③CPE匹配有误时，查看平台的修正建议，选择与实际产品及版本相符的标识后保存。

　　④自定义软件包缺少标识时，补充能够从交付资料中核实的PURL或CPE，再检查匹配结果。

　　5、查找重复或未显示的条目

　　①打开【CoPilot Insights】，查看疑似重复的软件包，分别核对版本和来源；确认是同一条目后再合并。

　　②返回【Software】，清除搜索词和筛选条件，查看软件包是否出现在完整列表中。

　　③若列表中有条目而导出报告没有，检查该软件包的标签和排除设置，调整后重新生成报告。

　　④若列表中也没有，核对上传固件及外部SBOM是否包含该软件包；补齐对应文件后重新分析。

　　三、修正后如何核对软件组件清单

　　改好平台中的条目，还要确认导出的SBOM和漏洞结果使用了新数据。核对时始终停留在本次实际交付的产品版本，避免将不同分支的结果放在一起比较。

　　1、对照交付文件检查清单

　　①打开修正后的【Software】列表，对照构建依赖文件或供应商清单，核对新增、删除和替换的软件包。

　　②重点查看同名不同版本的条目，确认旧版本没有误留，新版本没有因合并而消失。

　　③打开调整过的条目，再次核对其来源文件、版本和软件标识，并记录本次修改内容。

　　2、检查导出内容和漏洞关联

　　①在当前版本的SBOM页面重新校验，核对软件包数量和异常提示，再提交审批。

　　②导出SPDX或CycloneDX文件，检查修正条目的名称、版本及标识是否写入文件。

　　③打开相关漏洞结果，核对匹配的软件包和受影响版本；若结果仍是旧数据，检查分析任务使用的清单版本。

　　总结

　　软件组件识别得准不准，最终要回到实际交付的固件和构建资料上判断。平时把产品版本、文件来源与软件包记录对应好，遇到名称或版本异常时，就能沿着原始文件逐项核查，也方便后续复核导出的SBOM。希望这篇关于“Cybellum怎么管理软件组件Cybellum软件组件识别错误如何修正”的内容对大家有所帮助；如有Cybellum相关需求，欢迎联系我们咨询。