advisory database sources and matching service

可靠的信源是Docker Scout能够对您的软件制品提供相关且准确评估的关键。鉴于业界信源和方法论的多样性，漏洞评估结果存在差异是不可避免的，且确实会发生。本页介绍了Docker Scout的 advisory 数据库及其CVE与软件包匹配机制如何处理此类差异。

advisory database sources

Docker Scout 整合了来自多个来源的漏洞数据。这些数据持续更新，以确保您的安全状态能够通过最新可用信息实时呈现。

Docker Scout 使用以下软件包仓库和安全跟踪器：

当您为 Docker 组织启用 Docker Scout 时，会在 Docker Scout 平台上配置一个新的数据库实例。该数据库存储软件物料清单 (SBOM) 以及关于您镜像的其他元数据。当安全公告包含关于漏洞的新信息时，您的 SBOM 会与 CVE 信息进行交叉引用，以检测其如何影响您。

有关镜像分析工作原理的更多详细信息，请参阅镜像分析页面。

传统工具通常依赖于广泛的通用产品枚举 (CPE) 匹配，这可能会导致许多误报结果。

Docker Scout 使用包 URL (PURL) 将软件包与 CVE 进行匹配，从而更精确地识别漏洞。 PURL 显著降低了误报的可能性，仅关注真正受影响的软件包。

Docker Scout 支持以下软件包生态系统：