Vertaa
SBOM-hallinta
SBOM-hallinta on jatkuvaa työtä: SBOM:ien tallentamista tuotteittain ja julkaisuittain, niiden valvontaa uusien haavoittuvuuksien varalta ja toimittamista niille, jotka niitä pyytävät. SBOM:n generointi on yksi vaihe CI/CD-putkessa. Satojen SBOM:ien pitäminen hyödyllisinä on se varsinainen työ.
Päivitetty
Jokainen vertailu kertoo, missä toinen tuote on hyvä, missä CRACI eroaa ja milloin käyttäisit molempia. Kaikki kategoriat: kaikki vertailut.
Mitä SBOM-hallinta kattaa
- Kerää. Kokoa SBOM:t omista buildeistasi ja toimittajiltasi, missä muodossa ne sitten tulevatkin.
- Yhtenäistä. Tuo CycloneDX- ja SPDX-tiedostot sekä työkalujen eri tavat nimetä komponentti yhteen johdonmukaiseen näkymään.
- Tarkista laatu. Etsi puuttuvat tiedot, kuten lisenssit, tunnisteet tai riippuvuussuhteet. Katso miltä heikko SBOM näyttää.
- Valvo. Vertaa tallennettuja SBOM:eja jatkuvasti uuteen haavoittuvuustietoon, jotta tietoturvatiedotteesta tulee luettelo julkaisuista, joihin se vaikuttaa.
- Tee triage. Päätä, mikä on olennaista, ohjaa se omistavalle tiimille ja kirjaa lopputulos, esimerkiksi VEX-lausuntoon.
- Jaa. Anna asiakkaille, auditoijille ja viranomaisille SBOM siitä versiosta, jota he kysyvät.
Tämän taustalla olevista käytännöistä kerrotaan sivulla SBOM:n parhaat käytännöt. Jos aihe on sinulle uusi, aloita sivulta mikä on SBOM.
Miksi taulukot ja kansiot lakkaavat toimimasta
Yksi tuote ja yksi SBOM mahtuvat repositorioon. Useat tuotteet, joilla kullakin on tuettuja versioita ja toimittajia, eivät mahdu. Olennaiset kysymykset koskevat niitä kaikkia: missä julkaisuissa tämä paketti on, ketkä asiakkaat käyttävät niitä julkaisuja ja mistä lähtien? Vastauksen etsiminen JSON-tiedostojen kansiosta vie päiviä juuri silloin, kun aikaa on tunteja.
Hallintatyökalut, generaattorit ja buildin aikainen tallennus
- SBOM-hallintatyökalut, kuten Anchore, FOSSA, Cybeats, Manifest, Lineaje ja Dependency-Track, tallentavat, analysoivat ja valvovat SBOM:eja. Ne hallitsevat niille annettuja SBOM:eja, joten tiedot ovat vain niin kattavia kuin niiden taustalla oleva generaattori.
- SBOM-generaattorit, kuten Syft, Trivy ja cdxgen, skannaavat hakemiston, kuvan tai lukitustiedoston (lockfile) jälkikäteen. Niiden raportti riippuu edessä olevista tiedostoista. Katso molemmat ryhmät rinnakkain sivulta parhaat SBOM-työkalut.
- Buildin aikainen tallennus tallentaa riippuvuudet buildin ajon aikana. Tämä on CRACI:n lähestymistapa.
Yhteisen generointikäytännön asettamisesta kaikille tiimeille ja putkille kerrotaan sivulla SBOM-generointi kehitystiimeissä.
Mitä SBOM-hallintatyökalulta kannattaa vaatia
- Tuo sekä CycloneDX- että SPDX-tiedostoja, ja tarvittaessa toimittajien SBOM:eja
- Seuraa SBOM:eja julkaisuittain, ei vain repositorioittain
- Tarkistaa tallennetut SBOM:t uudelleen, kun uusia haavoittuvuuksia julkaistaan
- Näyttää riippuvuussuhteet, jotta havainnosta päästään päivitettävään pakettiin
- Tukee triagea ja VEX:iä, jotta päätökset säilyvät
- Tarjoaa tavan jakaa SBOM:eja asiakkaille, jos he pyytävät niitä
Mihin CRACI sopii
CRACI tallentaa SBOM:n GitHub Actions -buildisi ajon aikana. Runnerilla toimiva paketit tunnistava välityspalvelin (proxy) tallentaa jokaisen paketin, jonka jobi haki, myös CI-välimuisteista palautetut paketit, joten SBOM kuvaa artefaktin tuottanutta buildia eikä jossain lähistöllä ajettua skannausta. Jokaisen jobin SBOM:lla on kattavuustila, ja CycloneDX- ja SPDX-viennit sisältävät transitiiviset riippuvuudet ja kunkin komponentin ilmoitetun lisenssin. CRACI arvioi valvottuja SBOM:eja jatkuvasti uudelleen uusien haavoittuvuuksien ilmaantuessa, ja sen inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti.
Mitä EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) vaatii SBOM:lta, kerrotaan sivulla CRA-vaatimustenmukaisuus: SBOM-vaatimukset ja työkalut. Lue lisää buildin aikaisesta SBOM-generoinnista. Jos haluat tarkistaa toimittajiesi lähettämät SBOM:t ennen kuin otat ne hallintaan, katso SBOM:n laadun tarkistuslista.
CRACI verrattuna kuhunkin työkaluun
- CRACI vs. Anchore Kuvien skannaus vs. buildien tallentaminen ja seuranta.
- CRACI vs. FOSSA SBOM-hallinta vs. buildi, SBOM ja seuranta yhdessä.
- CRACI vs. Cybeats SBOM-tietojen ensisijainen järjestelmä vs. tallennetut ja seuratut SBOM:t.
- CRACI vs. Manifest SBOM-hallinta vs. SBOM:ien tallentaminen ja seuranta.
- CRACI vs. Lineaje Portfolioanalyysi ja korjatut paketit vs. buildin SBOM:t ja seuranta.
- CRACI vs. Dependency-Track SBOM-analyysi vs. SBOM:ien tallentaminen ja seuranta.
- CRACI vs. SOC 2:n SBOM-tarkistukset Näyttö vs. rasti ruutuun.
Rinnakkain
Useita työkaluja yhdellä sivulla silloin, kun valitset kategoriaa etkä yksittäistä tuotetta.
SBOM-hallinta: usein kysytyt kysymykset
Mitä SBOM-hallinta on?
Se on jatkuvaa työtä: SBOM:ien keräämistä tuotteista ja toimittajilta, niiden pitämistä yhtenäisinä, valvontaa uusien haavoittuvuuksien varalta ja jakamista niille, jotka niitä tarvitsevat.
Mitä eroa on SBOM-generaattorilla ja SBOM-hallintatyökalulla?
Generaattori tuottaa SBOM-tiedoston. Hallintatyökalu tallentaa SBOM:eja monista lähteistä ja tarkistaa niitä jatkuvasti. Hallintatyökalu voi olla vain niin kattava kuin sen saamat SBOM:t.
Tarvitsetko SBOM-hallintatyökalun?
Kun tuotteita on yksi ja julkaisuja vähän, generaattori ja huolellinen tallennus voivat riittää. Kun tuotteita, tuettuja versioita tai toimittajien SBOM:eja on useita, kysymykset ulottuvat liian moneen tiedostoon käsin vastattaviksi.
Onko Dependency-Track SBOM-hallintatyökalu?
Kyllä. Se on OWASPin avoimen lähdekoodin alusta, joka ottaa vastaan SBOM:eja ja valvoo niitä tunnettujen haavoittuvuuksien varalta. Ajat sitä itse ja toimitat sille SBOM:t.
Muut kategoriat
Näe CRACI omassa putkessasi
Varaa demo, niin käymme läpi buildisi, SBOM:isi ja vaatimustenmukaisuuden näyttösi.
Varaa demo