如何跟踪二进制文件及SBOM中组件的安全漏洞，无需集成构建流程？

可直接落地的工具方案 #

• 基于CycloneDX生态的平台化方案
  CycloneDX本身是SBOM标准格式，对应的配套工具完全不强制对接构建流程。你可以先把手上Excel里的组件名称、版本号、所属包生态（比如Maven、PyPI、npm等）字段整理好，用简单的转换脚本就能生成标准CycloneDX格式的JSON/XML文件，直接导入Dependency-Track平台即可。平台会自动关联多个官方漏洞数据源，只要你导入的组件有新增匹配的CVE漏洞，就可以配置邮件、内部消息等主动告警，不需要给每个组件单独设置过滤规则。
• 轻量命令行工具方案
  如果不想搭整套平台，也可以用osv-scanner或者Trivy两款命令行工具：
  • 要是已经有整理好的组件列表，直接按要求存为纯文本依赖清单或者SBOM文件，运行对应扫描命令就能完成漏洞匹配，自己加个定时任务定期重扫，有新增漏洞就触发告警即可。
  • 要是只有二进制文件，直接用Trivy的二进制扫描能力，不需要你手动提取依赖，工具会自动从二进制中识别用到的组件、生成SBOM同时完成漏洞扫描，也支持定期重扫配置。

轻量化替代方案 #

如果组件数量不多不想折腾工具，可以把整理好的组件+版本列表批量导入公共漏洞数据库的自定义监控列表，配置统一的告警通知即可，全程不需要对接构建流程，也不用逐个订阅组件的漏洞通知。

关于你提到的两个框架的说明 #

• SLSA是软件供应链安全等级评估框架，本身不具备漏洞跟踪能力，不需要在这个方向找对应功能。
• CycloneDX是SBOM标准，其配套工具都支持离线生成、导入SBOM做漏洞跟踪，完全适配你当前的场景。

内容的提问来源于stack exchange，提问作者Great Bavaria