Vergleichen
SBOM-Management
SBOM-Management ist die laufende Arbeit, SBOMs nach Produkt und Release zu speichern, sie auf neue Schwachstellen zu überwachen und sie denen bereitzustellen, die danach fragen. Eine SBOM zu erzeugen ist ein einziger Schritt in der Pipeline. Hunderte davon nutzbar zu halten ist die eigentliche Aufgabe.
Aktualisiert am
Jeder Vergleich zeigt, was das andere Produkt gut macht, wo CRACI sich unterscheidet und wann Sie beide einsetzen würden. Alle Kategorien finden Sie unter alle Vergleiche.
Was zum SBOM-Management gehört
- Sammeln. Tragen Sie SBOMs aus Ihren eigenen Builds und von Lieferanten zusammen, in welchem Format sie auch eintreffen.
- Normalisieren. Führen Sie CycloneDX- und SPDX-Dateien und die unterschiedlichen Arten, wie Tools eine Komponente benennen, in einer einheitlichen Sicht zusammen.
- Qualität prüfen. Finden Sie heraus, was fehlt, etwa Lizenzen, Kennungen oder Abhängigkeitsbeziehungen. Siehe So sieht eine schwache SBOM aus.
- Überwachen. Gleichen Sie gespeicherte SBOMs laufend mit neuen Schwachstellendaten ab, damit aus einem Advisory eine Liste der betroffenen Releases wird.
- Sichten. Entscheiden Sie, was wichtig ist, leiten Sie es an das zuständige Team weiter und halten Sie das Ergebnis fest, zum Beispiel in einem VEX-Statement.
- Teilen. Geben Sie Kunden, Auditoren und Regulierungsbehörden die SBOM für die Version, nach der sie fragen.
Die Gewohnheiten dahinter beschreiben die SBOM Best Practices. Wenn das Thema neu für Sie ist, beginnen Sie mit Was ist eine SBOM.
Warum Tabellen und Ordner nicht mehr ausreichen
Ein Produkt mit einer SBOM passt in ein Repository. Mehrere Produkte, jedes mit unterstützten Versionen und Lieferanten, nicht. Die entscheidenden Fragen gehen quer durch alle: Welche Releases enthalten dieses Paket, welche Kunden betreiben diese Releases, und seit wann? Das aus einem Ordner voller JSON-Dateien zu beantworten dauert Tage, genau dann, wenn Sie nur Stunden haben.
Manager, Generatoren und Aufzeichnung zur Build-Zeit
- SBOM-Manager wie Anchore, FOSSA, Cybeats, Manifest, Lineaje und Dependency-Track speichern, analysieren und überwachen SBOMs. Sie verwalten die SBOMs, die sie erhalten, die Aufzeichnung ist also nur so vollständig wie der Generator dahinter.
- SBOM-Generatoren wie Syft, Trivy und cdxgen scannen im Nachhinein ein Verzeichnis, ein Image oder ein Lockfile. Was sie melden, hängt von den Dateien ab, die vor ihnen liegen. Beide Gruppen im direkten Vergleich finden Sie unter Die besten SBOM-Tools.
- Aufzeichnung zur Build-Zeit erfasst die Abhängigkeiten, während der Build läuft. Das ist der Ansatz von CRACI.
Worauf es bei einem SBOM-Management-Tool ankommt
- Importiert CycloneDX und SPDX, bei Bedarf auch SBOMs von Lieferanten
- Verfolgt SBOMs pro Release, nicht nur pro Repository
- Prüft gespeicherte SBOMs erneut, sobald neue Schwachstellen veröffentlicht werden
- Zeigt Abhängigkeitsbeziehungen, sodass ein Befund zu dem Paket führt, das aktualisiert werden muss
- Unterstützt Triage und VEX, damit Entscheidungen erhalten bleiben
- Bietet einen Weg, SBOMs mit Kunden zu teilen, falls diese danach fragen
Wo CRACI ansetzt
CRACI zeichnet die SBOM auf, während Ihr GitHub-Actions-Build läuft. Ein paketbewusster Proxy auf dem Runner zeichnet jedes Paket auf, das der Job geladen hat, einschließlich der aus CI-Caches wiederhergestellten Pakete. So beschreibt die SBOM den Build, der das Artefakt erzeugt hat, und nicht einen Scan, der irgendwo daneben lief. Die SBOM jedes Jobs trägt einen Vollständigkeitsstatus, und Exporte in CycloneDX und SPDX enthalten transitive Abhängigkeiten und die deklarierte Lizenz jeder Komponente. CRACI bewertet überwachte SBOMs laufend neu, sobald neue Schwachstellen auftauchen, und seine Inventaransicht zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit.
Was der Cyber Resilience Act von einer SBOM verlangt, lesen Sie unter CRA-Compliance: SBOM-Anforderungen und Tools. Mehr über SBOM-Generierung während des Builds.
CRACI im Vergleich mit jedem Tool
- CRACI vs. Anchore Images scannen vs. Builds aufzeichnen und überwachen.
- CRACI vs. FOSSA SBOM-Verwaltung vs. Build, SBOM und Überwachung in einem.
- CRACI vs. Cybeats Ein SBOM-System of Record vs. aufgezeichnete und überwachte SBOMs.
- CRACI vs. Manifest SBOM-Verwaltung vs. SBOM-Aufzeichnung und -Überwachung.
- CRACI vs. Lineaje Portfolioanalyse und bereinigte Pakete vs. Build-SBOMs mit Überwachung.
- CRACI vs. Dependency-Track SBOM-Analyse vs. SBOM-Aufzeichnung und -Überwachung.
- CRACI vs. SBOM-Prüfungen für SOC 2 Nachweis statt Häkchen.
Im direkten Vergleich
Mehrere Tools auf einer Seite, wenn Sie eine Kategorie wählen und nicht ein einzelnes Produkt.
SBOM-Management: häufig gestellte Fragen
Was ist SBOM-Management?
Die laufende Arbeit, SBOMs über Produkte und Lieferanten hinweg zu sammeln, einheitlich zu halten, auf neue Schwachstellen zu überwachen und denen bereitzustellen, die sie brauchen.
Was ist der Unterschied zwischen einem SBOM-Generator und einem SBOM-Manager?
Ein Generator erzeugt die SBOM-Datei. Ein Manager speichert SBOMs aus vielen Quellen und prüft sie weiter. Ein Manager kann nur so vollständig sein wie die SBOMs, die er erhält.
Brauchen Sie ein SBOM-Management-Tool?
Bei einem Produkt und wenigen Releases können ein Generator und sorgfältige Ablage genügen. Bei mehreren Produkten, unterstützten Versionen oder SBOMs von Lieferanten betreffen die Fragen zu viele Dateien, um sie von Hand zu beantworten.
Ist Dependency-Track ein SBOM-Management-Tool?
Ja. Es ist eine Open-Source-Plattform von OWASP, die SBOMs aufnimmt und auf bekannte Schwachstellen überwacht. Sie betreiben sie selbst und liefern die SBOMs.
Weitere Kategorien
Sehen Sie CRACI in Ihrer eigenen Pipeline
Buchen Sie eine Demo, und wir gehen gemeinsam Ihre Builds, Ihre SBOMs und Ihre Compliance-Nachweise durch.
Demo buchen