Dependency-Track, leer el portafolio

Dependency-Track evalúa políticas cuando se carga un SBOM y agrupa las violaciones en tres tipos. Las de licencia comparan la licencia de cada componente con una lista permitida o prohibida. Las de seguridad miran la severidad de las vulnerabilidades. Las operacionales miran características del componente, como su antigüedad, su identificador o su distancia a la última versión.

Cada política lleva un estado de violación (la tabla politicas lo muestra como estado_de_violacion): informativo, aviso o fallo.

El puntaje de riesgo heredado de un proyecto resume sus hallazgos con pesos fijos:

(críticas × 10) + (altas × 5) + (medias × 3) + (bajas × 1) + (sin asignar × 5)

Sirve para ordenar un portafolio, no para decir si un proyecto es seguro. Dos proyectos con el mismo puntaje pueden tener riesgos muy distintos si uno tiene un hallazgo alcanzable y el otro no.

Abre proyectos y aplica la fórmula a planificador-hornos.

El panel solo conoce lo que alguien cargó. Si el SBOM de un proyecto es de hace cuatro meses, el puntaje describe el producto de hace cuatro meses, no el de hoy, aunque las bases de avisos se actualicen a diario. Antes de comparar proyectos, compara las fechas de ultimo_sbom.

Auditar un hallazgo en Dependency-Track es asignarle un estado de análisis: sin establecer (NOT_SET), en triaje (IN_TRIAGE), explotable (EXPLOITABLE), no afectado (NOT_AFFECTED) o falso positivo (FALSE_POSITIVE). Un hallazgo suprimido deja de contar en las métricas y en las políticas de seguridad, por lo que oculta riesgo del panel. Por eso cada supresión debe llevar un comentario que explique el porqué y que alguien pueda revisar.

Filtra hallazgos por suprimido igual a si.