咨询数据库源和匹配服务

可靠的信息源是 Docker Scout 发现软件制品相关和准确评估能力的关键。鉴于业界信息源和方法的多样性，漏洞评估结果中可能而且确实存在差异。本页面介绍 Docker Scout 咨询数据库及其 CVE 到包的匹配方法如何处理这些差异。

咨询数据库源

Docker Scout 汇总来自多个源的漏洞数据。这些数据会持续更新，以确保你的安全态势能够实时地使用最新信息来呈现。

Docker Scout 使用以下包仓库和安全跟踪器

当你为 Docker 组织启用 Docker Scout 时，Docker Scout 平台会为你预置一个新的数据库实例。该数据库存储软件物料清单 (SBOM) 和关于你的镜像的其他元数据。当安全咨询有关于漏洞的新信息时，你的 SBOM 会与 CVE 信息交叉引用，以检测它如何影响你。

有关镜像分析工作原理的更多详细信息，请参阅镜像分析页面。

传统工具通常依赖于宽泛的通用产品枚举 (CPE) 匹配，这可能导致许多误报结果。

Docker Scout 使用 Package URLs (PURLs) 来将软件包与 CVE 进行匹配，从而更精确地识别漏洞。PURLs 显著减少了误报的可能性，只关注真正受影响的软件包。

Docker Scout 支持以下软件包生态系统