咨询数据库来源和匹配服务

可靠的信息源是 Docker Scout 能够对软件工件进行相关且准确的评估的关键。鉴于行业中来源和方法的多样性，漏洞评估结果可能而且确实会发生差异。本页介绍了 Docker Scout 咨询数据库及其 CVE 到包匹配方法如何处理这些差异。

咨询数据库来源

Docker Scout 聚合来自多个来源的漏洞数据。数据不断更新，以确保使用最新的可用信息实时反映您的安全状况。

Docker Scout 使用以下包存储库和安全跟踪器：

当您为 Docker 组织启用 Docker Scout 时，会在 Docker Scout 平台上配置一个新的数据库实例。该数据库存储软件物料清单 (SBOM) 和有关图像的其他元数据。当安全通报有有关漏洞的新信息时，您的 SBOM 会与 CVE 信息交叉引用，以检测它对您的影响。

有关图像分析工作原理的更多详细信息，请参阅图像分析页面。

传统工具通常依赖于广泛的通用产品枚举 (CPE)匹配，这可能会导致许多误报结果。

Docker Scout 使用包 URL (PURL) 将包与 CVE 进行匹配，从而更准确地识别漏洞。 PURL 显着降低了误报的可能性，仅关注真正受影响的包裹。

Docker Scout 支持以下软件包生态系统：