V roce 2026 o 131% více nahlášených CVE denně než loni.

Srovnání

Správa SBOM

Správa SBOM je průběžná práce: ukládat SBOM podle produktů a vydání, monitorovat je kvůli novým zranitelnostem a předávat je těm, kdo o ně žádají. Vygenerovat SBOM je jeden krok v pipeline. Skutečnou prací je udržet jich stovky užitečné.

Aktualizováno

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Každé srovnání říká, v čem je druhý produkt dobrý, čím se CRACI liší a kdy byste použili oba. Všechny kategorie najdete v sekci všechna srovnání.

Co správa SBOM zahrnuje

  1. Sběr. Shromážděte SBOM z vlastních buildů i od dodavatelů, v jakémkoli formátu dorazí.
  2. Normalizace. Sjednoťte soubory CycloneDX a SPDX i různé způsoby, jakými nástroje pojmenovávají komponenty, do jednoho konzistentního pohledu.
  3. Kontrola kvality. Zjistěte, co chybí, například licence, identifikátory nebo vztahy mezi závislostmi. Podívejte se, jak vypadá slabá SBOM.
  4. Monitorování. Průběžně porovnávejte uložené SBOM s novými daty o zranitelnostech, aby se z bezpečnostního upozornění stal seznam dotčených vydání.
  5. Triáž. Rozhodněte, co je důležité, předejte to odpovědnému týmu a zaznamenejte výsledek, například v prohlášení VEX.
  6. Sdílení. Poskytněte zákazníkům, auditorům a regulátorům SBOM pro verzi, na kterou se ptají.

Návyky, které za tím stojí, najdete v osvědčených postupech pro SBOM. Pokud je pro vás téma nové, začněte článkem co je SBOM.

Proč tabulky a složky přestanou stačit

Jeden produkt s jednou SBOM se vejde do repozitáře. Několik produktů, každý s podporovanými verzemi a dodavateli, už ne. Důležité otázky se týkají všech najednou: která vydání obsahují tento balíček, kteří zákazníci tato vydání provozují a od kdy? Odpověď ze složky souborů JSON trvá dny, a to ve chvíli, kdy máte hodiny.

Správci, generátory a záznam v době buildu

  • Správci SBOM jako Anchore, FOSSA, Cybeats, Manifest, Lineaje a Dependency-Track SBOM ukládají, analyzují a monitorují. Spravují SBOM, které dostanou, takže záznam je jen tak úplný jako generátor, který za ním stojí.
  • Generátory SBOM jako Syft, Trivy a cdxgen skenují adresář, image nebo lockfile až dodatečně. To, co nahlásí, závisí na souborech, které mají před sebou. Obě skupiny vedle sebe najdete v přehledu nejlepších nástrojů SBOM.
  • Záznam v době buildu zachycuje závislosti, zatímco build běží. To je přístup CRACI.

Jak nastavit jednu politiku generování pro všechny týmy a pipeline, popisuje stránka generování SBOM napříč vývojovými týmy.

Co hledat v nástroji pro správu SBOM

  • Importuje CycloneDX i SPDX a v případě potřeby i SBOM od dodavatelů
  • Sleduje SBOM pro každé vydání, nejen pro každý repozitář
  • Znovu kontroluje uložené SBOM, jakmile se zveřejní nové zranitelnosti
  • Ukazuje vztahy mezi závislostmi, takže nález vede k balíčku, který je třeba aktualizovat
  • Podporuje triáž a VEX, aby se rozhodnutí uchovala
  • Nabízí způsob, jak SBOM sdílet se zákazníky, pokud o ně požádají

Kam zapadá CRACI

CRACI zaznamenává SBOM, zatímco váš build v GitHub Actions běží. Proxy na runneru, která rozumí balíčkům, zaznamená každý balíček, který job stáhl, včetně balíčků obnovených z cache CI, takže SBOM popisuje build, který artefakt vytvořil, a ne sken, který proběhl někde poblíž. SBOM každého jobu nese stav úplnosti a exporty ve formátech CycloneDX a SPDX obsahují tranzitivní závislosti i deklarovanou licenci každé komponenty. CRACI průběžně znovu vyhodnocuje monitorované SBOM, jakmile se objeví nové zranitelnosti, a jeho pohled na inventář přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně.

Co Cyber Resilience Act od SBOM požaduje, popisuje stránka Soulad s CRA: požadavky na SBOM a nástroje. Přečtěte si více o generování SBOM v době buildu. Chcete-li zkontrolovat SBOM od dodavatelů dřív, než je začnete spravovat, použijte kontrolní seznam kvality SBOM.

CRACI ve srovnání s jednotlivými nástroji

Vedle sebe

Několik nástrojů na jedné stránce, když vybíráte kategorii, ne jeden produkt.

Správa SBOM: časté dotazy

Co je správa SBOM?

Je to průběžná práce: shromažďovat SBOM napříč produkty a dodavateli, udržovat je konzistentní, monitorovat je kvůli novým zranitelnostem a sdílet je s těmi, kdo je potřebují.

Jaký je rozdíl mezi generátorem SBOM a správcem SBOM?

Generátor vytváří soubor SBOM. Správce ukládá SBOM z mnoha zdrojů a průběžně je kontroluje. Správce může být jen tak úplný jako SBOM, které dostává.

Potřebujete nástroj pro správu SBOM?

S jedním produktem a několika vydáními může stačit generátor a pečlivé ukládání. S několika produkty, podporovanými verzemi nebo SBOM od dodavatelů se otázky týkají příliš mnoha souborů, než aby se daly zodpovědět ručně.

Je Dependency-Track nástroj pro správu SBOM?

Ano. Je to open source platforma od OWASP, která přijímá SBOM a monitoruje je kvůli známým zranitelnostem. Provozujete ji sami a SBOM do ní dodáváte.

Další kategorie

Vyzkoušejte CRACI na vlastní pipeline

Rezervujte si demo a společně projdeme vaše buildy, vaše SBOM a vaše důkazy o souladu.

Rezervujte si demo