登録元SBOMファイルの確認

SBOM をインポートすると、その内容は OS パッケージや依存ライブラリとして FutureVuls に登録されます。 このページでは、登録されたソフトウェアや脆弱性（タスク）が どの SBOM ファイルから登録されたものか を確認・特定する方法を説明します。

確認には次の2つの列を使います。

• SBOMファイル名 列: アプリケーション一覧・ソフトウェア一覧の SBOMファイル名 列と、アプリケーション詳細・ソフトウェア詳細（ライブラリ）の SBOMファイル名 欄に、登録元の SBOM ファイル名が表示されます。同じ SBOM ファイル名のものは同じ SBOM ファイルから登録されたものです。登録元の SBOM ファイルは、この列（欄）で特定します。
• location 列: ソフトウェア一覧の location 列には、ライブラリを含むアプリケーション・Lockfile・GitHub リポジトリ・AWS Lambda 関数などが表示されます。SBOM から登録されたライブラリでは、どのアプリケーションに含まれるかを確認できます。

以下では、SBOM サーバ SBOM-test を例として説明します。

アプリケーションとSBOMファイルの関連付け

SBOM から登録されたアプリケーションは、アプリケーション一覧の SBOMファイル名 列に登録元の SBOM ファイル名が表示されます。 アプリケーションを選択すると、アプリケーション詳細の SBOMファイル名 欄でも確認できます。

上のアプリケーション webapp/php/composer.lock は FileName_test という SBOM ファイルから登録されたものとわかります。 FileName_test から登録されたアプリケーションは、すべて SBOMファイル名 列に FileName_test と表示されます。

ソフトウェア一覧では、初期状態で非表示の SBOMファイル名 列を表示すると確認できます。グループのソフトウェア一覧では、SBOM ファイル名の部分一致で絞り込めます。

ソフトウェア情報とSBOMファイルの関連付け

SBOM により登録されたソフトウェアは、種別ごとに以下の方法で登録元の SBOM ファイルを特定できます。

ソフトウェア種別：os

ソフトウェア種別：os は OS パッケージを意味します。OS 情報はサーバ SBOM からしか登録されません。OS パッケージは、サーバ SBOM から登録されるほか、OS が判明している SBOM サーバ（サーバ SBOM から作成したサーバ）へ追加したアプリケーション SBOM の OS パッケージも、取り込み先サーバの OS パッケージとして登録されます（詳しくは「アプリケーションSBOMに含まれるOSパッケージ」を参照）。 そのため、SBOM サーバの OS パッケージは、サーバ SBOM ファイルから登録されたものと、追加したアプリケーション SBOM ファイルから登録されたものが混在することがあります。登録元の SBOM ファイルは、ソフトウェア一覧の SBOMファイル名 列で確認できます。

上の OS パッケージ一覧は別のサーバ inspector の例で、すべてサーバ SBOM である inspector から登録されたものです。

ソフトウェア種別：library

ソフトウェア種別：library は依存ライブラリを意味します。依存ライブラリは、ソフトウェア一覧の SBOMファイル名 列、またはソフトウェア詳細の SBOMファイル名 欄で登録元の SBOM ファイルを特定できます。

上のライブラリ slim/slim は、一覧の SBOMファイル名 列とソフトウェア詳細の SBOMファイル名 欄から、FileName_test という SBOM ファイルから登録されたものとわかります。 location 列の webapp/php/composer.lock は、このライブラリを含むアプリケーションです。

location 列について

ソフトウェア一覧の location 列では、ライブラリを含むアプリケーション・Lockfile・GitHub リポジトリ・AWS Lambda 関数などの情報を表示しています。

脆弱性✕タスクとSBOMファイルの関連付け

タスク詳細の「関連するソフトウェア」一覧では、ライブラリの場合、location 列にそのライブラリを含むアプリケーションが表示されます。 ソフトウェア名をクリックしてソフトウェア詳細を開くと、SBOMファイル名 欄で登録元の SBOM ファイルを確認できます。 location がない場合は OS パッケージです。登録元の SBOM ファイルは「ソフトウェア種別：os」の方法で確認してください。

上のタスクの関連するソフトウェア guzzlehttp/guzzle は、location 列の webapp/php/composer.lock というアプリケーションに含まれています。 guzzlehttp/guzzle をクリックしてソフトウェア詳細を開くと、SBOMファイル名 欄から FileName_test という SBOM ファイルから登録されたものとわかります。