Springe zum Hauptinhalt

OCCTET-Toolkit

Vom Quellcode zu CRA-bereiten Berichten

Eine Reihe miteinander verbundener Open-Source-Werkzeuge, die Software-Compliance in ein praktisches, geführtes Erlebnis verwandelt, für KMU und die Open-Source-Projekte, auf die sie setzen.

  • Open Source
  • Basiert auf Eclipse Apoapsis, Curator und VulnerableCode
  • Mensch im Mittelpunkt
Selbstbewertung starten So funktioniert es
Wissen, wo Sie stehen CRA-Selbstbewertungsplattform Beantworten Sie einen geführten Fragebogen und messen Sie Ihre CRA-Bereitschaft in wenigen Minuten. Kostenlos, vertraulich und mit Ihren nächsten Schritten. Selbstbewertung starten Ihre Software analysieren Die OCCTET-Toolchain Scannen Sie Ihren Code, prüfen Sie die Ergebnisse und exportieren Sie SBOM, VEX und Audit-Berichte für Ihre CRA-Dokumentation. Dem Einstiegsleitfaden folgen

So funktioniert die Toolchain

Vier Schritte, vom Git-Repository zu standardisierten Compliance-Artefakten. Der gesamte Ablauf lässt sich aus dem Curator heraus starten und steuern.

Quellcode Git-Repository
1 ORT Server

Projekt analysieren

Der ORT Server scannt den Quellcode und erstellt SBOMs, Berichte und Metadaten.

  • SBOM
  • Berichte
  • Abhängigkeiten
  • Lizenzen
2 OCCTET Curator

Anreichern & kuratieren

Der Curator führt die Ergebnisse zusammen, ergänzt fehlende Informationen und unterstützt die manuelle Prüfung von Komponenten, Lizenzen, Urheberrechten und Schwachstellen, einschließlich VEX-Aussagen.

  • Komponenten
  • Lizenzen & Urheberrecht
  • Schwachstellen & VEX
  • KI-Unterstützung
  • Nachweise
4 Reporting

Berichte erstellen

Die kuratierten Daten werden in Standardformaten wie SBOM, VEX und Audit-Berichten exportiert.

  • SBOM
  • VEX
  • Audit-Berichte
3
VulnerableCode

Externe Daten nutzen

Die föderierte VulnerableCode-Datenbank liefert ORT und dem Curator aktuelle Informationen zu Schwachstellen, Komponenten und Metadaten.

Analyse starten, einen neuen ORT-Scan mit Ihren Parametern auslösen, Ergebnisse ansehen und die Kuratierung verwalten – alles aus dem Curator heraus.

Die Werkzeuge

ORT Server

Von Eclipse Apoapsis Apache-2.0

Automatisierte Analyse von Quellcode, Abhängigkeiten und Lizenzen.

Eine skalierbare Server-Implementierung des OSS Review Toolkit (ORT). Sie identifiziert jede Open-Source-Komponente mit ihren Lizenzen, bekannten Schwachstellen und Abhängigkeiten und übergibt die Ergebnisse an den Curator.

  • Detaillierte SBOMs erstellen (SPDX, CycloneDX)
  • Analyseberichte und Metadaten erzeugen
  • Den vollständigen Abhängigkeitsbaum abbilden
  • Lizenz- und Sicherheitsrisiken früh erkennen
  • Projekte mit geplanten Scans laufend überwachen

OCCTET Curator

Von Bitsea Apache-2.0

Kuratierung und Reporting mit dem Menschen im Mittelpunkt.

Verwandelt rohe Scan-Ergebnisse in geprüfte, vertrauenswürdige Compliance-Daten und ist der Ort, von dem aus Nutzer den gesamten Ablauf steuern. Er enthält einsatzbereite Docker-Skripte und eine dokumentierte docker-compose-Konfiguration.

  • Inventar der Komponenten und Abhängigkeiten prüfen und vervollständigen
  • Erkannte Lizenzen und Rechteinhaber verifizieren
  • Schwachstellen bewerten und VEX-Aussagen erstellen
  • Ergebnisse mit KI-Unterstützung schneller interpretieren
  • Entscheidungen festhalten und Compliance-Nachweise erstellen

VulnerableCode

Von Apache-2.0

Föderierte Datenbank für Schwachstellen, Komponenten und Metadaten.

Über FederatedCode verbindet sie zuverlässige Datenquellen und konsolidiert Informationen zu Open-Source-Paketen, identifiziert über die Package URL (PURL), sodass jedes KMU geprüfte Daten wiederverwendet, statt sie neu zu berechnen.

  • Sicherheitshinweise und bekannte Schwachstellen zu Paketen
  • Herkunfts- und Lizenzmetadaten von Paketen
  • Referenz-SBOMs für erfasste Pakete
  • Offene Daten in Git-Repositories und über APIs

CRA-Selbstbewertungsplattform

Von Expertware

Messen Sie Ihre CRA-Bereitschaft und erhalten Sie Ihre nächsten Schritte.

Ein geführter Fragebogen, der CRA-Pflichten in praktische Fragen übersetzt, Ihren Reifegrad je Bereich bewertet und zeigt, was als Nächstes zu tun ist, mit einem KI-Assistenten, der Ihnen hilft, die Anforderungen zu interpretieren.

  • Kostenlos und vertraulich
  • Reifegrad je CRA-Bereich
  • Erläuterungen und Nachweisindikatoren zu jeder Frage
  • Sofortige nächste Schritte

Die gehosteten OCCTET-Instanzen von ORT Server und Curator erfordern ein Konto. Fragen Sie einen Testzugang an oder stellen Sie die Werkzeuge selbst aus dem Quellcode bereit.

Was Sie erhalten

Standardisierte, maschinenlesbare Artefakte für Ihre technische CRA-Dokumentation.

  • SBOM

    Ein vollständiges Inventar der Softwarekomponenten Ihres Produkts, in SPDX oder CycloneDX.

  • VEX

    Aussagen darüber, ob bekannte Schwachstellen Ihr Produkt tatsächlich betreffen.

  • Audit-Berichte

    Dokumentation von Lizenzen, Urheberrechten, Schwachstellen und getroffenen Entscheidungen, zur Unterstützung der CRA-Compliance.

An realen Projekten getestet

Die Toolchain hat sämtliche Projekte der Eclipse Foundation analysiert. Außerdem wurde sie an weit verbreiteten Open-Source-Projekten und KMU-Fällen validiert, wie in den Ergebnissen D3.3 und D3.4 dokumentiert.

Die Ergebnisse des Toolkits ansehen

In Aktion bei den CRA Mondays

Projekte der Eclipse Foundation analysiert, mit mehr als 3.600 Repositories
452
populäre Open-Source-Projekte in 10 Sprach-Ökosystemen analysiert
96
Pakete mit Referenz-SBOMs im öffentlichen PurlDB-Demonstrator
20M+

Jetzt loslegen

Zurück nach oben