Comparar
Gestión de SBOM
La gestión de SBOM es el trabajo continuo de almacenar las SBOM por producto y versión, monitorizarlas en busca de nuevas vulnerabilidades y hacerlas llegar a quienes las solicitan. Generar una SBOM es un paso de un pipeline. El verdadero trabajo es que cientos de ellas sigan siendo útiles.
Actualizado el
Cada comparativa explica lo que el otro producto hace bien, en qué se diferencia CRACI y cuándo usaría ambos. Para todas las categorías, consulte todas las comparativas.
Qué implica la gestión de SBOM
- Recopilar. Reúna las SBOM de sus propios builds y de sus proveedores, en el formato en que lleguen.
- Normalizar. Lleve los archivos CycloneDX y SPDX, y las distintas formas en que las herramientas nombran un componente, a una sola vista coherente.
- Comprobar la calidad. Detecte lo que falta, como licencias, identificadores o relaciones de dependencia. Consulte cómo es una SBOM deficiente.
- Monitorizar. Siga cotejando las SBOM almacenadas con los nuevos datos de vulnerabilidades, de modo que un aviso se convierta en una lista de versiones afectadas.
- Hacer el triaje. Decida qué importa, envíelo al equipo responsable y registre el resultado, por ejemplo en una declaración VEX.
- Compartir. Entregue a clientes, auditores y reguladores la SBOM de la versión por la que preguntan.
Para conocer los hábitos que hay detrás, consulte buenas prácticas de SBOM. Si es nuevo en el tema, empiece por qué es una SBOM.
Por qué las hojas de cálculo y las carpetas dejan de funcionar
Un producto con una SBOM cabe en un repositorio. Varios productos, cada uno con sus versiones con soporte y sus proveedores, no. Las preguntas que importan los atraviesan todos: ¿qué versiones contienen este paquete, qué clientes ejecutan esas versiones y desde cuándo? Responder a eso desde una carpeta de archivos JSON lleva días, justo cuando usted dispone de horas.
Gestores, generadores y registro durante el build
- Los gestores de SBOM, como Anchore, FOSSA, Cybeats, Manifest, Lineaje y Dependency-Track, almacenan, analizan y monitorizan SBOM. Gestionan las SBOM que reciben, así que el registro solo es tan completo como el generador que hay detrás.
- Los generadores de SBOM, como Syft, Trivy y cdxgen, escanean un directorio, una imagen o un lockfile a posteriori. Lo que indican depende de los archivos que tienen delante. Consulte las mejores herramientas de SBOM para ver ambos grupos uno junto al otro.
- El registro durante el build captura las dependencias mientras se ejecuta el build. Este es el enfoque de CRACI.
Qué buscar en una herramienta de gestión de SBOM
- Importa tanto CycloneDX como SPDX, y SBOM de proveedores si las necesita
- Sigue las SBOM por versión, no solo por repositorio
- Vuelve a comprobar las SBOM almacenadas a medida que se publican nuevas vulnerabilidades
- Muestra las relaciones de dependencia, de modo que un hallazgo lleve al paquete que hay que actualizar
- Admite el triaje y VEX, de modo que las decisiones se conserven
- Ofrece una forma de compartir las SBOM con los clientes, si estos las solicitan
Dónde encaja CRACI
CRACI registra la SBOM mientras se ejecuta su build de GitHub Actions. Un proxy en el runner que entiende de paquetes registra cada paquete que descargó el job, incluidos los paquetes restaurados desde cachés de CI, de modo que la SBOM describe el build que generó el artefacto y no un escaneo que se ejecutó en algún lugar cercano. La SBOM de cada job lleva un estado de completitud, y las exportaciones en CycloneDX y SPDX incluyen las dependencias transitivas y la licencia declarada de cada componente. CRACI sigue reevaluando las SBOM monitorizadas a medida que aparecen nuevas vulnerabilidades, y su vista de inventario muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global.
Para saber qué exige el Cyber Resilience Act a una SBOM, consulte cumplimiento del CRA: requisitos de SBOM y herramientas. Más información sobre la generación de SBOM durante el build.
CRACI comparado con cada herramienta
- CRACI frente a Anchore Escanear imágenes frente a registrar y monitorizar builds.
- CRACI frente a FOSSA Gestión de SBOM frente a build, SBOM y monitorización en uno.
- CRACI frente a Cybeats Un sistema de registro de SBOM frente a SBOM registradas y monitorizadas.
- CRACI frente a Manifest Gestión de SBOM frente a registro y monitorización de SBOM.
- CRACI frente a Lineaje Análisis de cartera y paquetes corregidos frente a SBOM del build con monitorización.
- CRACI frente a Dependency-Track Análisis de SBOM frente a registro y monitorización de SBOM.
- CRACI frente a Comprobaciones de SBOM para SOC 2 Evidencias frente a una casilla marcada.
Lado a lado
Varias herramientas en una página, para cuando elige una categoría y no un producto concreto.
Gestión de SBOM: preguntas frecuentes
¿Qué es la gestión de SBOM?
Es el trabajo continuo de recopilar las SBOM de todos los productos y proveedores, mantenerlas coherentes, monitorizarlas en busca de nuevas vulnerabilidades y compartirlas con quienes las necesitan.
¿Cuál es la diferencia entre un generador de SBOM y un gestor de SBOM?
Un generador produce el archivo SBOM. Un gestor almacena SBOM de muchas fuentes y las sigue comprobando. Un gestor solo puede ser tan completo como las SBOM que recibe.
¿Necesita una herramienta de gestión de SBOM?
Con un producto y pocas versiones, un generador y un almacenamiento cuidadoso pueden bastar. Con varios productos, versiones con soporte o SBOM de proveedores, las preguntas abarcan demasiados archivos para responderlas a mano.
¿Dependency-Track es una herramienta de gestión de SBOM?
Sí. Es una plataforma de código abierto de OWASP que importa SBOM y las monitoriza en busca de vulnerabilidades conocidas. Usted la ejecuta por su cuenta y le proporciona las SBOM.
Otras categorías
Vea CRACI en su propio pipeline
Reserve una demo y repasaremos juntos sus builds, sus SBOM y sus evidencias de cumplimiento.
Reservar una demo