DependencyTrack/dependency-track

これは何？

主な機能

• 01SBOMファイルを取り込み、プロジェクトごとにコンポーネントとバージョンを追跡する。
• 02追跡中の依存関係を監視し、新たに公開された脆弱性を検出する。
• 03DockerイメージとHelmチャートを使ったデプロイに対応する。
• 04ローカル環境でインスタンスを起動するためのDocker Composeクイックスタートを提供する。

ユースケース

• 多数の社内アプリケーションにまたがるサードパーティ依存関係のリスクを追跡する。
• ソフトウェアサプライチェーンのセキュリティプログラムに脆弱性監視を加える。
• SBOMを使ってリリース済みソフトウェアのコンポーネント一覧を確認する。

クイックスタート

1. 1

   Quickstart チュートリアルに従って、Docker Compose でローカルインスタンスを起動します

使う前に知っておきたいこと

• !README の Quickstart は Docker Compose を使用し、セットアップの詳細については外部ドキュメントを参照しています。
• !v4 はメンテナンスモードで、v5 が新しい系列のため、v4 からの移行には手間がかかる場合があります。

トピック

よくある質問

dependency-track とは？

SBOMに基づいてソフトウェア依存関係と既知の脆弱性を追跡し、組織内のプロジェクトを分析するプラットフォーム。 Dependency-Trackは、ソフトウェアサプライチェーンのリスクを特定・低減するための、OWASPが提供するComponent Analysisプラットフォームです。Software Bill of Materials（SBOM）ファイルを基に、各アプリケーションに含まれるコンポーネントとバージョンを追跡します。

dependency-track は無料で使えますか？ライセンスは？

dependency-track は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

dependency-track は今もメンテナンスされていますか？

活発にメンテナンス中。dependency-track の最終コミットは 2026年11月5日 です。

dependency-track は何に使えますか？

多数の社内アプリケーションにまたがるサードパーティ依存関係のリスクを追跡する。 ソフトウェアサプライチェーンのセキュリティプログラムに脆弱性監視を加える。 SBOMを使ってリリース済みソフトウェアのコンポーネント一覧を確認する。

dependency-track のインストール方法は？

Quickstart チュートリアルに従って、Docker Compose でローカルインスタンスを起動します

dependency-track はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/DependencyTrack/dependency-track