咨询数据库来源和匹配服务

可靠的信息来源是 Docker Scout 能够显示对软件工件的相关且准确的评估。鉴于行业来源和方法的多样性，漏洞评估结果的差异可能而且确实会发生。本页介绍了 Docker Scout 顾问数据库其 CVE 到程序包的匹配方法可以处理这些差异。

咨询数据库来源

Docker Scout 聚合来自多个来源的漏洞数据。数据会不断更新，以确保您的安全状况使用最新的可用信息实时表示。

Docker Scout 使用以下包存储库和安全跟踪器：

当您为 Docker 组织启用 Docker Scout 时，在 Docker Scout 平台上预置了一个新的数据库实例。该数据库存储软件物料清单（SBOM）和有关镜像的其他元数据。当安全通告有关于漏洞的新信息时，您的 SBOM 与 CVE 信息交叉引用，以检测它对您有何影响。

有关镜像分析工作原理的更多详细信息，请参阅镜像分析页面。

传统工具通常依赖于广泛的通用产品枚举（CPE）匹配，这可能会导致许多假阳性结果。

Docker Scout 使用软件包 URL （PURL）将软件包与 CVE 进行匹配，从而更精确地识别漏洞。 PURL 显著降低了误报的可能性，只关注真正受影响的包裹。

Docker Scout 支持以下包生态系统：