123% de CVE signalées en plus par jour en 2026 par rapport à l'an dernier.

Comparer

Gestion des SBOM

La gestion des SBOM est le travail continu qui consiste à stocker les SBOM par produit et par release, à les surveiller pour détecter les nouvelles vulnérabilités et à les transmettre à ceux qui les demandent. Générer une SBOM tient en une étape de pipeline. Le vrai travail, c'est d'en garder des centaines utiles.

Mis à jour le

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Chaque comparatif indique ce que l'autre produit fait bien, en quoi CRACI diffère et quand utiliser les deux. Pour toutes les catégories, consultez tous les comparatifs.

En quoi consiste la gestion des SBOM

  1. Collecter. Rassemblez les SBOM de vos propres builds et de vos fournisseurs, quel que soit le format dans lequel elles arrivent.
  2. Normaliser. Réunissez les fichiers CycloneDX et SPDX, ainsi que les différentes façons dont les outils nomment un composant, dans une seule vue cohérente.
  3. Vérifier la qualité. Repérez ce qui manque, comme les licences, les identifiants ou les relations entre dépendances. Voir à quoi ressemble une SBOM de faible qualité.
  4. Surveiller. Continuez à confronter les SBOM stockées aux nouvelles données de vulnérabilité, pour qu'un avis de sécurité se traduise par une liste de releases concernées.
  5. Trier. Décidez de ce qui compte, transmettez-le à l'équipe responsable et consignez le résultat, par exemple dans une déclaration VEX.
  6. Partager. Fournissez aux clients, aux auditeurs et aux régulateurs la SBOM de la version sur laquelle ils vous interrogent.

Pour les habitudes qui sous-tendent ce travail, voir les bonnes pratiques SBOM. Si vous découvrez le sujet, commencez par qu'est-ce qu'une SBOM.

Pourquoi les tableurs et les dossiers ne suffisent plus

Un produit avec une SBOM tient dans un dépôt. Plusieurs produits, chacun avec ses versions prises en charge et ses fournisseurs, non. Les questions qui comptent les concernent tous : quelles releases contiennent ce paquet, quels clients exécutent ces releases, et depuis quand ? Y répondre à partir d'un dossier de fichiers JSON prend des jours, au moment précis où vous disposez de quelques heures.

Gestionnaires, générateurs et enregistrement au build

  • Les gestionnaires de SBOM tels qu'Anchore, FOSSA, Cybeats, Manifest, Lineaje et Dependency-Track stockent, analysent et surveillent les SBOM. Ils gèrent les SBOM qu'on leur fournit : l'enregistrement n'est donc jamais plus complet que le générateur qui se trouve en amont.
  • Les générateurs de SBOM tels que Syft, Trivy et cdxgen scannent un répertoire, une image ou un lockfile après coup. Ce qu'ils signalent dépend des fichiers dont ils disposent. Voir les meilleurs outils SBOM pour comparer les deux groupes côte à côte.
  • L'enregistrement au build capture les dépendances pendant l'exécution du build. C'est l'approche de CRACI.

Que rechercher dans un outil de gestion des SBOM

  • Il importe CycloneDX et SPDX, ainsi que les SBOM des fournisseurs si vous en avez besoin
  • Il suit les SBOM par release, pas seulement par dépôt
  • Il revérifie les SBOM stockées à mesure que de nouvelles vulnérabilités sont publiées
  • Il montre les relations entre dépendances, pour qu'un résultat mène au paquet à mettre à niveau
  • Il prend en charge le tri et VEX, pour que les décisions soient conservées
  • Il offre un moyen de partager les SBOM avec les clients, s'ils en demandent

La place de CRACI

CRACI enregistre la SBOM pendant l'exécution de votre build GitHub Actions. Un proxy qui comprend les paquets, placé sur le runner, enregistre chaque paquet récupéré par le job, y compris les paquets restaurés depuis les caches CI : la SBOM décrit donc le build qui a produit l'artefact, et non un scan exécuté quelque part à côté. La SBOM de chaque job comporte un état de complétude, et les exports en CycloneDX et SPDX incluent les dépendances transitives et la licence déclarée de chaque composant. CRACI continue de réévaluer les SBOM surveillées à mesure que de nouvelles vulnérabilités apparaissent, et sa vue d'inventaire montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale.

Pour ce que le Cyber Resilience Act exige d'une SBOM, voir conformité au CRA : exigences et outils SBOM. En savoir plus sur la génération de SBOM au build.

CRACI comparé à chaque outil

Côte à côte

Plusieurs outils sur une même page, lorsque vous choisissez une catégorie plutôt qu'un produit.

Gestion des SBOM : questions fréquentes

Qu'est-ce que la gestion des SBOM ?

C'est le travail continu qui consiste à collecter les SBOM de vos produits et de vos fournisseurs, à les garder cohérentes, à les surveiller pour détecter les nouvelles vulnérabilités et à les partager avec ceux qui en ont besoin.

Quelle est la différence entre un générateur de SBOM et un gestionnaire de SBOM ?

Un générateur produit le fichier SBOM. Un gestionnaire stocke des SBOM issues de nombreuses sources et continue de les vérifier. Un gestionnaire ne peut pas être plus complet que les SBOM qu'il reçoit.

Avez-vous besoin d'un outil de gestion des SBOM ?

Avec un seul produit et peu de releases, un générateur et un stockage rigoureux peuvent suffire. Avec plusieurs produits, des versions prises en charge ou des SBOM de fournisseurs, les questions portent sur trop de fichiers pour qu'on puisse y répondre à la main.

Dependency-Track est-il un outil de gestion des SBOM ?

Oui. C'est une plateforme open source de l'OWASP qui ingère des SBOM et les surveille pour détecter les vulnérabilités connues. Vous l'exécutez vous-même et vous fournissez les SBOM.

Autres catégories

Découvrez CRACI sur votre propre pipeline

Réservez une démo et nous passerons en revue vos builds, vos SBOM et vos preuves de conformité.

Réserver une démo