艾体宝Mend SCA：从 SBOM 生成到自动化修复的企业级工作流

传统 SCA 工具的核心能力是"漏洞匹配"——扫描依赖清单，比对 CVE 数据库，输出"项目中存在哪些有漏洞的组件"。但安全团队真正需要的是"风险决策"：哪些漏洞值得立即修复？修复路径是什么？能否自动化完成？

Mend SCA 将软件成分分析从"发现问题"推进到"解决问题"，通过 SBOM 生成、可达性分析、EPSS 评分、自动化修复 PR 和 AI 辅助建议，将漏洞修复工作量减少约 75%。本教程拆解这条从扫描到修复的完整工作流。

一、SBOM 生成与导出

1.1 为什么 SBOM 是起点

软件物料清单（SBOM）是 CRA、EO 14028 等法规对软件成分透明度的强制要求，也是供应商交付物验收和客户安全审查的基础。没有完整准确的 SBOM，后续的漏洞检测、合规报告和供应链管理都无从谈起。

1.2 Mend SCA 的 SBOM 生成能力

Mend SCA 支持 30+ 种包管理器生态的组件识别，覆盖直接依赖和传递依赖。传递依赖——即项目间接引用的、由直接依赖引入的第三方库——往往是漏洞高发区域，因为它们通常不被开发者直接管理。

2026 年 6 月，Mend SCA 新增了对 SPDX 和 CycloneDX 标准的源文件级 SBOM 导出和导入支持：

• ​导出​：可生成包含未匹配源文件、CVE、许可证和版权信息的细粒度 SBOM
• ​导入​：可导入包含文件级组件的 SBOM 并触发异步匹配
• ​输出格式​：CycloneDX、SPDX

1.3 SBOM 的典型应用场景

实操建议：在 CI/CD 管道中配置每次构建自动生成 SBOM 并归档，确保 SBOM 与代码版本一一对应，而非仅在合规审计时手动生成。

二、漏洞优先级排序：三维风险评估

2.1 传统优先级排序的局限

仅依赖 CVSS 评分排序漏洞存在明显缺陷：一个 CVSS 9.8 的漏洞，如果应用代码从未调用漏洞函数，实际风险可能为零；而一个 CVSS 6.5 的漏洞，如果已有公开 PoC 且在野外被大量利用，可能才是最需要紧急处理的。

2.2 Mend SCA 的三维评估模型

Mend SCA 结合三个维度对漏洞进行优先级排序：

维度一：可达性分析（Reachability Analysis）

追踪应用代码到漏洞函数的调用路径，判断漏洞代码是否在当前应用中被实际调用。如果一个漏洞函数从未被应用触达，Mend 将其标记为不可达。安全团队可将精力集中在真正可利用的风险上，而非逐一排查所有 CVE 告警。

维度二：EPSS 评分集成

EPSS（Exploit Prediction Scoring System）衡量漏洞在现实世界中被利用的概率。Mend 将 EPSS 分数直接展示在漏洞发现表中，安全团队可按利用概率排序，优先处理最可能被攻击的漏洞。

维度三：CVSS 4.0 严重性评级

Mend 已支持 CVSS 4.0 严重性评级，并显示 CVSS 分数的原始来源（如 NVD 或 MITRE），帮助安全团队理解不同评分来源之间的差异。

2.3 依赖上下文信息

Mend 展示每个漏洞组件在依赖图中的位置——是直接依赖还是传递依赖，以及其根库是什么。这使得安全团队可以快速定位修复路径：升级直接依赖可能自动解决多个传递依赖中的漏洞。

2.4 优先级排序实操对比

以下是一个实际项目中的漏洞优先级排序示例：

按传统 CVSS 排序，commons-text（9.1）应优先于 jackson-databind（7.5）。但结合可达性和 EPSS，jackson-databind（可达 + EPSS 0.03）反而比 commons-text（不可达 + EPSS 0.82）更值得处理——因为不可达漏洞在当前应用中无法被触发。

三、自动化修复与依赖管理

3.1 自动化修复 Pull Request

当 Mend SCA 发现存在漏洞的组件时，可以自动创建一个升级依赖版本的 Pull Request。PR 中包含：

• 安全版本信息
• 变更日志
• 兼容性说明

开发者只需审核和合并，无需手动查找安全版本号和分析兼容性。

3.2 依赖更新自动化规则

Mend 支持配置自动化规则，在发现新的安全版本时自动触发更新流程：

• ​已知安全的版本升级​：可设置为自动合并，无需人工介入
• ​可能引入 Breaking Change 的升级​：需人工审核后合并

3.3 AI 辅助修复建议

对于无法简单升级版本解决的漏洞（例如需要修改代码调用方式），Mend 可提供具体的代码级修复建议，帮助开发者理解如何在不升级版本的情况下缓解风险。

官方数据显示，通过 AI 修复和自动化依赖管理，Mend 可帮助企业将漏洞修复工作量减少约 75%。

3.4 自动化修复的注意事项

四、许可证合规管理

4.1 许可证风险常被低估

一个组件的许可证类型可能影响整个项目的许可证策略。传递依赖中的 copyleft 许可证（如 AGPL、GPL）可能要求企业公开自研代码，这是比安全漏洞更隐蔽的法律风险。

4.2 Mend SCA 许可证管理能力

Mend SCA 维护覆盖数十万组件的许可证数据库，支持：

• 识别直接依赖和传递依赖中的许可证信息
• 自定义许可证策略（例如禁止 AGPL、限制 copyleft 类许可证）
• 策略违规时的自动告警或阻断
• 许可证风险评估和合规报告
• 组件"许可证数量"列（2026 年 6 月新增），帮助快速评估单个组件的许可证复杂度

五、零日漏洞响应

5.1 零日漏洞响应工作流

2026 年 3 月，Mend SCA 推出了改进的零日漏洞响应工作流：

• ​专门的零日漏洞目录​：独立于企业自身的库存数据，即使在没有扫描的情况下也能查看最新零日漏洞信息
• ​醒目告警​：新零日漏洞披露后，平台在界面中突出显示
• ​可配置的处理流程​：企业可定义零日漏洞的分诊、评估和响应流程
• ​永久性违规追踪​：零日漏洞相关的处理记录被永久保存，支持审计

5.2 零日漏洞响应实操要点

当 Log4Shell 级别的零日漏洞爆发时，时间就是一切。Mend 的响应流程应配合以下实操步骤：

六、常见问题 Q&A

Q1：Mend SCA 和传统漏洞扫描工具的根本区别是什么？

传统漏洞扫描基于 CVE 数据库匹配，输出"项目中存在哪些有漏洞的组件"。Mend SCA 在此基础上增加了可达性分析（判断漏洞是否可被应用触达）、EPSS 评分（判断漏洞被利用的概率）和自动化修复（自动生成修复 PR），从"发现问题"推进到"解决问题"。

Q2：可达性分析如何降低告警噪声？

如果一个组件中存在漏洞，但应用代码从未调用包含漏洞的函数，该漏洞在当前应用中是不可达的。Mend 标记这些不可达漏洞，帮助安全团队将精力集中在真正需要处理的风险上，而非逐一排查所有 CVE 告警。

Q3：Mend SCA 能生成什么格式的 SBOM？

支持 CycloneDX 和 SPDX 两种国际标准格式。2026 年 6 月新增源文件级细粒度 SBOM 导出，可包含未匹配源文件、CVE、许可证和版权信息。

Q4：自动化修复是否可以完全替代人工审核？

不建议完全替代。Mend 可自动生成修复 PR，已知安全的版本升级可配置自动合并，但可能引入 Breaking Change 的升级建议保留人工审核步骤。

Q5：Mend SCA 是否支持容器镜像扫描？

支持。Mend Container 模块分析容器镜像中的组件和漏洞，生成镜像级 SBOM，并在镜像构建和发布阶段执行安全策略，确保"代码仓库已升级，生产镜像也确实使用了新版本"。

Q6：非包管理器引入的组件能被识别吗？

对于通过手动下载、复制粘贴或私有仓库引入的组件，识别能力有限。2026 年 6 月新增的源文件级 SBOM 导入功能在一定程度上缓解了这个问题。