123% flere rapporterede CVE'er pr. dag i 2026 end sidste år.

Sammenlign

SBOM-administration

SBOM-administration er det løbende arbejde med at gemme SBOM'er pr. produkt og release, overvåge dem for nye sårbarheder og få dem ud til dem, der beder om dem. At generere en SBOM er ét trin i en pipeline. At holde hundredvis af dem brugbare er den egentlige opgave.

Opdateret

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Hver sammenligning fortæller, hvad det andet produkt gør godt, hvor CRACI er anderledes, og hvornår du ville bruge begge. Se alle sammenligninger for alle kategorier.

Hvad SBOM-administration indebærer

  1. Indsaml. Saml SBOM'er fra dine egne builds og fra leverandører, i det format, de nu kommer i.
  2. Normalisér. Saml CycloneDX- og SPDX-filer og de forskellige måder, værktøjer navngiver en komponent på, i ét ensartet overblik.
  3. Tjek kvaliteten. Find det, der mangler, for eksempel licenser, identifikatorer eller afhængighedsrelationer. Se hvordan en svag SBOM ser ud.
  4. Overvåg. Bliv ved med at matche gemte SBOM'er mod nye sårbarhedsdata, så en advisory bliver til en liste over berørte releases.
  5. Triagér. Beslut, hvad der betyder noget, send det til det ansvarlige team, og registrér resultatet, for eksempel i en VEX-erklæring.
  6. Del. Giv kunder, revisorer og myndigheder SBOM'en for den version, de spørger til.

Vanerne bag finder du i bedste praksis for SBOM'er. Er emnet nyt for dig, så start med hvad er en SBOM.

Derfor holder regneark og mapper op med at virke

Ét produkt med én SBOM kan være i et repository. Flere produkter, hver med understøttede versioner og leverandører, kan ikke. De spørgsmål, der betyder noget, går på tværs af dem alle: Hvilke releases indeholder denne pakke, hvilke kunder kører de releases, og siden hvornår? At besvare det ud fra en mappe med JSON-filer tager dage, netop når du kun har timer.

Administrationsværktøjer, generatorer og registrering under buildet

  • SBOM-administrationsværktøjer som Anchore, FOSSA, Cybeats, Manifest, Lineaje og Dependency-Track gemmer, analyserer og overvåger SBOM'er. De administrerer de SBOM'er, de får, så registreringen er kun så komplet som generatoren bag den.
  • SBOM-generatorer som Syft, Trivy og cdxgen scanner en mappe, et image eller en lockfile bagefter. Det, de rapporterer, afhænger af de filer, de har foran sig. Se de bedste SBOM-værktøjer for begge grupper side om side.
  • Registrering under buildet opfanger afhængighederne, mens buildet kører. Det er CRACI's tilgang.

Hvad du skal kigge efter i et SBOM-administrationsværktøj

  • Importerer både CycloneDX og SPDX og SBOM'er fra leverandører, hvis du har brug for det
  • Sporer SBOM'er pr. release, ikke kun pr. repository
  • Tjekker gemte SBOM'er igen, efterhånden som nye sårbarheder offentliggøres
  • Viser afhængighedsrelationer, så et fund fører til den pakke, der skal opgraderes
  • Understøtter triage og VEX, så beslutninger bevares
  • Tilbyder en måde at dele SBOM'er med kunder på, hvis de beder om dem

Hvor CRACI passer ind

CRACI registrerer SBOM'en, mens dit GitHub Actions-build kører. En pakkebevidst proxy på runneren registrerer hver pakke, jobbet hentede, inklusive pakker gendannet fra CI-caches, så SBOM'en beskriver det build, der producerede artefaktet, og ikke en scanning, der kørte et sted i nærheden. Hvert jobs SBOM har en fuldstændighedsstatus, og eksporter i CycloneDX og SPDX indeholder transitive afhængigheder og hver komponents deklarerede licens. CRACI bliver ved med at genvurdere overvågede SBOM'er, efterhånden som nye sårbarheder dukker op, og dets inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt.

Hvad Cyber Resilience Act kræver af en SBOM, kan du læse i CRA-compliance: SBOM-krav og værktøjer. Læs mere om SBOM-generering under buildet.

CRACI sammenlignet med hvert værktøj

Side om side

Flere værktøjer på én side, til når du vælger en kategori og ikke ét produkt.

SBOM-administration: ofte stillede spørgsmål

Hvad er SBOM-administration?

Det er det løbende arbejde med at indsamle SBOM'er på tværs af produkter og leverandører, holde dem ensartede, overvåge dem for nye sårbarheder og dele dem med dem, der har brug for dem.

Hvad er forskellen på en SBOM-generator og et SBOM-administrationsværktøj?

En generator producerer SBOM-filen. Et administrationsværktøj gemmer SBOM'er fra mange kilder og bliver ved med at tjekke dem. Et administrationsværktøj kan kun være så komplet som de SBOM'er, det modtager.

Har du brug for et SBOM-administrationsværktøj?

Med ét produkt og få releases kan en generator og omhyggelig opbevaring være nok. Med flere produkter, understøttede versioner eller leverandørers SBOM'er går spørgsmålene på tværs af for mange filer til at kunne besvares manuelt.

Er Dependency-Track et SBOM-administrationsværktøj?

Ja. Det er en open source-platform fra OWASP, der indlæser SBOM'er og overvåger dem for kendte sårbarheder. Du driver det selv og leverer SBOM'erne.

Andre kategorier

Se CRACI i din egen pipeline

Book en demo, så gennemgår vi dine builds, dine SBOM'er og din compliance-dokumentation.

Book en demo