비교
SBOM 관리
SBOM 관리는 SBOM을 제품과 릴리스별로 저장하고, 새로운 취약점을 모니터링하고, 요청하는 사람에게 전달하는 지속적인 작업입니다. SBOM 생성은 파이프라인의 한 단계면 됩니다. 수백 개의 SBOM을 계속 쓸모 있게 유지하는 것이 진짜 일입니다.
업데이트
각 비교에서는 상대 제품의 강점, CRACI와의 차이점, 두 제품을 함께 쓰면 좋은 경우를 설명합니다. 모든 카테고리는 전체 비교에서 확인하세요.
SBOM 관리에 포함되는 일
- 수집. 자체 빌드와 공급업체에서 받은 SBOM을 어떤 형식으로 오든 모읍니다.
- 정규화. CycloneDX와 SPDX 파일, 그리고 도구마다 구성 요소를 부르는 다양한 방식을 하나의 일관된 보기로 통합합니다.
- 품질 확인. 라이선스, 식별자, 종속성 관계처럼 빠진 것을 찾습니다. 부실한 SBOM의 모습을 참조하세요.
- 모니터링. 저장된 SBOM을 새로운 취약점 데이터와 계속 매칭하여, 보안 권고가 영향을 받는 릴리스 목록으로 바뀌도록 합니다.
- 분류. 무엇이 중요한지 판단하고, 담당 팀에 전달하고, 결과를 기록합니다. 예를 들어 VEX 문서로 기록할 수 있습니다.
- 공유. 고객, 감사인, 규제 기관에 그들이 묻는 버전의 SBOM을 제공합니다.
이를 뒷받침하는 습관은 SBOM 모범 사례를 참조하세요. 이 주제가 처음이라면 SBOM이란 무엇인가부터 시작하세요.
스프레드시트와 폴더가 더 이상 통하지 않는 이유
SBOM 하나를 가진 제품 하나는 리포지토리 하나로 충분합니다. 각각 지원 버전과 공급업체가 있는 여러 제품은 그렇지 않습니다. 중요한 질문은 그 모든 것에 걸쳐 있습니다. 이 패키지가 어떤 릴리스에 들어 있는가, 그 릴리스를 어떤 고객이 사용하는가, 그리고 언제부터인가? JSON 파일이 담긴 폴더에서 이에 답하려면 며칠이 걸리는데, 주어진 시간은 몇 시간뿐입니다.
관리 도구, 생성 도구, 빌드 시점 기록
- Anchore, FOSSA, Cybeats, Manifest, Lineaje, Dependency-Track 같은 SBOM 관리 도구는 SBOM을 저장, 분석, 모니터링합니다. 전달받은 SBOM을 관리하므로, 기록의 완전성은 그 뒤에 있는 생성 도구만큼에 그칩니다.
- Syft, Trivy, cdxgen 같은 SBOM 생성 도구는 사후에 디렉터리, 이미지, 잠금 파일을 스캔합니다. 보고하는 내용은 눈앞에 있는 파일에 따라 달라집니다. 두 그룹을 나란히 비교한 최고의 SBOM 도구를 참조하세요.
- 빌드 시점 기록은 빌드가 실행되는 동안 종속성을 포착합니다. 이것이 CRACI의 접근 방식입니다.
모든 팀과 파이프라인에 하나의 생성 정책을 적용하는 방법은 엔지니어링 팀 전반의 SBOM 생성을 참고하세요.
SBOM 관리 도구에서 살펴봐야 할 사항
- CycloneDX와 SPDX를 모두 가져오고, 필요하다면 공급업체의 SBOM도 가져오는지
- 리포지토리 단위뿐 아니라 릴리스 단위로 SBOM을 추적하는지
- 새로운 취약점이 공개될 때 저장된 SBOM을 다시 확인하는지
- 종속성 관계를 보여 주어 발견 사항에서 업그레이드할 패키지로 이어지는지
- 분류와 VEX를 지원해 결정이 보존되는지
- 고객이 요청할 경우 SBOM을 공유할 방법을 제공하는지
CRACI의 역할
CRACI는 GitHub Actions 빌드가 실행되는 동안 SBOM을 기록합니다. 러너의 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 작업이 가져온 모든 패키지를 기록하므로, SBOM은 근처 어딘가에서 실행된 스캔이 아니라 아티팩트를 만든 빌드 자체를 설명합니다. 각 작업의 SBOM에는 완전성 상태가 표시되며, CycloneDX와 SPDX로 내보낸 파일에는 전이적 종속성과 각 구성 요소의 선언된 라이선스가 포함됩니다. CRACI는 새로운 취약점이 나타날 때마다 모니터링 중인 SBOM을 계속 재평가하며, 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계 범위에서 정확히 보여 줍니다.
Cyber Resilience Act가 SBOM에 요구하는 내용은 CRA 컴플라이언스: SBOM 요구 사항과 도구를 참조하세요. 빌드 시점 SBOM 생성에 대해 자세히 알아보세요. 공급업체가 보낸 SBOM을 관리하기 전에 확인하려면 SBOM 품질 체크리스트를 참조하세요.
도구별 CRACI 비교
- CRACI vs Anchore 이미지 스캔 vs 빌드 기록과 모니터링.
- CRACI vs FOSSA SBOM 관리 vs 빌드, SBOM, 모니터링을 하나로.
- CRACI vs Cybeats SBOM 기록 시스템 vs 기록되고 모니터링되는 SBOM.
- CRACI vs Manifest SBOM 관리 vs SBOM 기록과 모니터링.
- CRACI vs Lineaje 포트폴리오 분석과 수정된 패키지 vs 모니터링이 포함된 빌드 SBOM.
- CRACI vs Dependency-Track SBOM 분석 vs SBOM 기록과 모니터링.
- CRACI vs SOC 2 SBOM 점검 체크박스가 아닌 증거.
나란히 비교
제품 하나가 아니라 카테고리를 고를 때 유용하도록 여러 도구를 한 페이지에 모았습니다.
SBOM 관리: 자주 묻는 질문
SBOM 관리란 무엇인가요?
제품과 공급업체 전반에서 SBOM을 수집하고, 일관되게 유지하고, 새로운 취약점을 모니터링하고, 필요한 사람과 공유하는 지속적인 작업입니다.
SBOM 생성 도구와 SBOM 관리 도구의 차이점은 무엇인가요?
생성 도구는 SBOM 파일을 만듭니다. 관리 도구는 여러 출처의 SBOM을 저장하고 계속 확인합니다. 관리 도구의 완전성은 전달받는 SBOM의 완전성을 넘어설 수 없습니다.
SBOM 관리 도구가 필요한가요?
제품이 하나이고 릴리스가 적다면 생성 도구와 신중한 보관만으로 충분할 수 있습니다. 제품이 여러 개이거나, 지원 버전이 있거나, 공급업체 SBOM이 있다면 질문이 너무 많은 파일에 걸쳐 있어 수작업으로는 답할 수 없습니다.
Dependency-Track은 SBOM 관리 도구인가요?
예. OWASP의 오픈 소스 플랫폼으로, SBOM을 수집해 알려진 취약점을 모니터링합니다. 직접 운영하고 SBOM도 직접 제공해야 합니다.