SBOM nedir?
SBOM (Software Bill of Materials, yazılım malzeme listesi), bir yazılımın içerdiği tüm bileşenlerin, kütüphanelerin ve bunların sürümlerinin yapılandırılmış envanteridir. Yeni bir açık duyurulduğunda uygulamanızın etkilenip etkilenmediğini hızla anlamanızı sağlar.
Gıda ürünündeki içindekiler listesine benzetilebilir. Bir ürünün neyden yapıldığını bilmeden o ürünün güvenliğini değerlendirmek zordur.
Neden önemlidir?
Modern yazılımların büyük kısmı açık kaynak ve üçüncü taraf bileşenlerden oluşur. Bir bileşendeki açık, onu dolaylı olarak kullanan tüm uygulamaları etkiler. SBOM, bu bağımlılık zincirini görünür kılar.
Bir tedarik zinciri açığı ortaya çıktığında ilk soru, bu bileşeni kullanıp kullanmadığımızdır. Güncel SBOM varsa cevap dakikalar içinde alınır.
Sunucu ve hosting ortamında
Web uygulaması geliştiren veya barındıran ekipler, kullandıkları kütüphane, çerçeve ve eklentileri SBOM ile takip edebilir. Paket yöneticisi bağımlılık dosyalarından otomatik SBOM üreten araçlar vardır. Bunlar yaygın biçimlerden CycloneDX ve SPDX standartlarını kullanır.
- Uygulama bağımlılıklarını ve konteyner imaj içeriğini listeler.
- Zafiyet tarayıcılarıyla birleştirildiğinde etkilenen bileşenler hızla tespit edilir.
Nasıl uygulanır?
- Derleme sürecinize otomatik SBOM üretimini ekleyin.
- Yaygın bir biçim olan CycloneDX veya SPDX kullanın.