123% di CVE segnalate in più al giorno nel 2026 rispetto all'anno scorso.

Confronti

Gestione delle SBOM

La gestione delle SBOM è il lavoro continuo di archiviare le SBOM per prodotto e release, monitorarle per individuare nuove vulnerabilità e farle arrivare a chi le chiede. Generare una SBOM richiede un solo passaggio in una pipeline. Il vero lavoro è mantenerne utili centinaia.

Aggiornato il

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Ogni confronto spiega che cosa fa bene l'altro prodotto, in che cosa CRACI è diverso e quando conviene usarli entrambi. Per tutte le categorie, veda tutti i confronti.

Che cosa comporta la gestione delle SBOM

  1. Raccogliere. Riunire le SBOM delle Sue build e dei fornitori, in qualunque formato arrivino.
  2. Normalizzare. Portare i file CycloneDX e SPDX, e i diversi modi in cui gli strumenti denominano un componente, in un'unica vista coerente.
  3. Verificare la qualità. Individuare ciò che manca, come licenze, identificatori o relazioni tra dipendenze. Veda come si presenta una SBOM debole.
  4. Monitorare. Continuare a confrontare le SBOM archiviate con i nuovi dati sulle vulnerabilità, così che un advisory si traduca in un elenco di release colpite.
  5. Fare il triage. Decidere che cosa conta, inviarlo al team responsabile e registrare l'esito, ad esempio in una dichiarazione VEX.
  6. Condividere. Fornire a clienti, auditor e autorità di regolamentazione la SBOM della versione richiesta.

Per le abitudini alla base di tutto questo, veda le best practice per le SBOM. Se il tema è nuovo per Lei, inizi da che cos'è una SBOM.

Perché fogli di calcolo e cartelle smettono di funzionare

Un prodotto con una SBOM sta in un repository. Più prodotti, ciascuno con le proprie versioni supportate e i propri fornitori, no. Le domande che contano li riguardano tutti: quali release contengono questo pacchetto, quali clienti eseguono quelle release, e da quando? Rispondere partendo da una cartella di file JSON richiede giorni, proprio quando Lei ha soltanto ore a disposizione.

Manager, generatori e registrazione in fase di build

  • I manager di SBOM come Anchore, FOSSA, Cybeats, Manifest, Lineaje e Dependency-Track archiviano, analizzano e monitorano le SBOM. Gestiscono le SBOM che ricevono, quindi la registrazione non può essere più completa del generatore che c'è dietro.
  • I generatori di SBOM come Syft, Trivy e cdxgen scansionano una directory, un'immagine o un lockfile a posteriori. Ciò che riportano dipende dai file che hanno davanti. Veda i migliori strumenti SBOM per i due gruppi fianco a fianco.
  • La registrazione in fase di build cattura le dipendenze mentre la build è in esecuzione. È l'approccio di CRACI.

Che cosa cercare in uno strumento di gestione delle SBOM

  • Importa sia CycloneDX sia SPDX e, se servono, le SBOM dei fornitori
  • Traccia le SBOM per release, non solo per repository
  • Ricontrolla le SBOM archiviate man mano che vengono pubblicate nuove vulnerabilità
  • Mostra le relazioni tra dipendenze, così un risultato porta al pacchetto da aggiornare
  • Supporta il triage e VEX, così le decisioni vengono conservate
  • Offre un modo per condividere le SBOM con i clienti, se le richiedono

Dove si colloca CRACI

CRACI registra la SBOM mentre la Sua build GitHub Actions è in esecuzione. Un proxy sul runner che riconosce i pacchetti registra ogni pacchetto scaricato dal job, compresi i pacchetti ripristinati dalle cache CI, così la SBOM descrive la build che ha prodotto l'artefatto e non una scansione eseguita da qualche parte lì vicino. La SBOM di ogni job riporta uno stato di completezza, e le esportazioni in CycloneDX e SPDX includono le dipendenze transitive e la licenza dichiarata di ogni componente. CRACI continua a rivalutare le SBOM monitorate man mano che compaiono nuove vulnerabilità, e la sua vista inventario mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale.

Per sapere che cosa chiede il Cyber Resilience Act a una SBOM, veda conformità al CRA: requisiti SBOM e strumenti. Scopra di più sulla generazione di SBOM in fase di build.

CRACI a confronto con ciascuno strumento

Fianco a fianco

Più strumenti in una sola pagina, per quando sceglie una categoria e non un singolo prodotto.

Gestione delle SBOM: domande frequenti

Che cos'è la gestione delle SBOM?

È il lavoro continuo di raccogliere le SBOM di prodotti e fornitori, mantenerle coerenti, monitorarle per individuare nuove vulnerabilità e condividerle con chi ne ha bisogno.

Qual è la differenza tra un generatore di SBOM e un manager di SBOM?

Un generatore produce il file SBOM. Un manager archivia SBOM provenienti da molte fonti e continua a controllarle. Un manager non può essere più completo delle SBOM che riceve.

Serve uno strumento di gestione delle SBOM?

Con un solo prodotto e poche release possono bastare un generatore e un'archiviazione accurata. Con più prodotti, versioni supportate o SBOM dei fornitori, le domande coinvolgono troppi file per poter rispondere a mano.

Dependency-Track è uno strumento di gestione delle SBOM?

Sì. È una piattaforma open source di OWASP che acquisisce le SBOM e le monitora per individuare vulnerabilità note. La esegue Lei stesso e fornisce Lei le SBOM.

Altre categorie

Veda CRACI sulla Sua pipeline

Prenoti una demo: esamineremo insieme le Sue build, le Sue SBOM e le Sue evidenze di conformità.

Prenota una demo