Vai al contenuto principale

Toolkit OCCTET

Dal codice sorgente ai report pronti per il CRA

Una suite di strumenti open source interconnessi che trasforma la conformità software in un'esperienza pratica e guidata per le PMI e per i progetti open source su cui fanno affidamento.

  • Open source
  • Basato su Eclipse Apoapsis, Curator e VulnerableCode
  • Con intervento umano
Inizia dall'autovalutazione Scopri come funziona
Scopri a che punto sei Piattaforma di autovalutazione CRA Rispondi a un questionario guidato e misura in pochi minuti la tua preparazione al CRA. Gratuita e riservata, con i passi successivi da compiere. Avvia l'autovalutazione Analizza il tuo software La toolchain OCCTET Scansiona il tuo codice, esamina i risultati ed esporta SBOM, dichiarazioni VEX e report di audit per la tua documentazione CRA. Segui la guida ai primi passi

Come funziona la toolchain

Quattro passi, da un repository Git ad artefatti di conformità standard. L'intero flusso di lavoro può essere avviato e gestito dal Curator.

Codice sorgente Repository Git
1 ORT Server

Analizza il progetto

L'ORT Server analizza il codice sorgente e genera SBOM, report e metadati.

  • SBOM
  • Report
  • Dipendenze
  • Licenze
2 OCCTET Curator

Arricchisci e cura

Il Curator combina i risultati, aggiunge le informazioni mancanti e consente la revisione manuale di componenti, licenze, copyright e vulnerabilità, comprese le dichiarazioni VEX.

  • Componenti
  • Licenze e copyright
  • Vulnerabilità e VEX
  • Assistenza IA
  • Evidenze
4 Reporting

Crea i report

I dati curati vengono esportati in formati standard come SBOM, VEX e report di audit.

  • SBOM
  • VEX
  • Report di audit
3
VulnerableCode

Usa dati esterni

Il database federato VulnerableCode fornisce informazioni aggiornate su vulnerabilità, componenti e metadati, sia a ORT sia al Curator.

Avvia un'analisi, lancia una nuova scansione ORT con i tuoi parametri, consulta i risultati e gestisci la curazione, tutto dal Curator.

Gli strumenti

ORT Server

A cura di Eclipse Apoapsis Apache-2.0

Analisi automatizzata del codice sorgente, delle dipendenze e delle licenze.

Un'implementazione server scalabile dell'OSS Review Toolkit (ORT). Identifica ogni componente open source, con le relative licenze, vulnerabilità note e dipendenze, e trasmette i risultati al Curator.

  • Genera SBOM dettagliate (SPDX, CycloneDX)
  • Produce report di analisi e metadati
  • Mappa l'intero albero delle dipendenze
  • Individua tempestivamente i rischi legati alle licenze e alla sicurezza
  • Monitora i progetti in modo continuo con scansioni pianificate

OCCTET Curator

A cura di Bitsea Apache-2.0

Curazione e reporting con intervento umano.

Trasforma i risultati grezzi delle scansioni in dati di conformità verificati e affidabili, ed è il punto da cui gli utenti gestiscono l'intero flusso di lavoro. Include script Docker pronti all'uso e una configurazione docker-compose documentata.

  • Esamina e completa l'inventario di componenti e dipendenze
  • Verifica le licenze rilevate e i titolari del copyright
  • Valuta le vulnerabilità e crea dichiarazioni VEX
  • Ricevi assistenza IA per interpretare più rapidamente i risultati
  • Tieni traccia delle decisioni e produci evidenze di conformità

VulnerableCode

A cura di Apache-2.0

Database federato di vulnerabilità, componenti e metadati.

Tramite FederatedCode, collega fonti di dati affidabili e consolida le informazioni sui pacchetti open source, indicizzate per Package URL (PURL), così che ogni PMI riutilizzi dati verificati anziché ricalcolarli.

  • Avvisi di sicurezza sui pacchetti e vulnerabilità note
  • Metadati su provenienza e licenza dei pacchetti
  • SBOM di riferimento per i pacchetti monitorati
  • Dati aperti pubblicati in repository Git e tramite API

Piattaforma di autovalutazione CRA

A cura di Expertware

Misura la tua preparazione al CRA e scopri i passi successivi.

Un questionario guidato che traduce gli obblighi del CRA in domande pratiche, assegna un punteggio di maturità per ambito e indica cosa fare dopo, con un assistente IA che aiuta a interpretare i requisiti.

  • Gratuita e riservata
  • Punteggio di maturità per ambito del CRA
  • Spiegazioni e indicatori di evidenza per ogni domanda
  • Passi successivi immediati

Le istanze OCCTET ospitate di ORT Server e del Curator richiedono un account. Chiedi l'accesso come tester, oppure installa tu stesso gli strumenti a partire dal loro codice sorgente.

Cosa ottieni

Artefatti standard e leggibili dalle macchine per la documentazione tecnica CRA.

  • SBOM

    Un inventario completo dei componenti software del tuo prodotto, in formato SPDX o CycloneDX.

  • VEX

    Dichiarazioni che indicano se le vulnerabilità note interessano realmente il tuo prodotto.

  • Report di audit

    Documentazione di licenze, copyright, vulnerabilità e decisioni prese, a supporto della conformità al CRA.

Testato su progetti reali

La toolchain ha analizzato tutti i progetti della Eclipse Foundation. È stata inoltre validata su progetti open source ampiamente utilizzati e su casi di PMI, come riportato nei deliverable D3.3 e D3.4.

Vedi i risultati del toolkit

Guardalo in azione ai CRA Mondays

progetti della Eclipse Foundation analizzati, su oltre 3.600 repository
452
progetti open source popolari analizzati in 10 ecosistemi di linguaggi
96
pacchetti con SBOM di riferimento nel dimostratore pubblico PurlDB
20M+

Inizia ora

Torna su