諮詢資料庫來源和匹配服務

可靠的資訊源對於 Docker Scout 評估軟體工件相關性和準確性的能力至關重要。鑑於行業內來源和方法的多樣性，漏洞評估結果中出現差異在所難免。本頁面描述了 Docker Scout 諮詢資料庫及其 CVE 到軟體包匹配方法如何處理這些差異。

諮詢資料庫來源

Docker Scout 從多個來源聚合漏洞資料。資料會持續更新，以確保您的安全態勢即時反映最新可用資訊。

Docker Scout 使用以下軟體包倉庫和安全跟蹤器

當您為 Docker 組織啟用 Docker Scout 時，Docker Scout 平臺會配置一個新的資料庫例項。該資料庫儲存您的映象的軟體物料清單 (SBOM) 和其他元資料。當安全諮詢有關於漏洞的新資訊時，您的 SBOM 會與 CVE 資訊進行交叉引用，以檢測它如何影響您。

有關映象分析工作原理的更多詳細資訊，請參閱映象分析頁面。

Docker Scout 在確定 CVE 的嚴重性和評分時遵循兩個主要原則

對於來源優先順序，Docker Scout 遵循以下順序

對於 CVSS 版本偏好，一旦 Scout 選擇了一個來源，如果同時存在 CVSS v4 和 v3，它會優先選擇 v4，因為 v4 是更現代、更精確的評分模型。

傳統工具通常依賴於廣泛的通用產品列舉 (CPE) 匹配，這可能導致許多誤報結果。

Docker Scout 使用軟體包 URL (PURLs) 將軟體包與 CVE 進行匹配，從而更精確地識別漏洞。PURLs 顯著降低了誤報的可能性，僅關注真正受影響的軟體包。

Docker Scout 支援以下軟體包生態系統