123% meer gemelde CVE's per dag in 2026 dan vorig jaar.

Vergelijken

SBOM-beheer

SBOM-beheer is het doorlopende werk van SBOM's opslaan per product en release, ze monitoren op nieuwe kwetsbaarheden en ze bij de mensen krijgen die erom vragen. Een SBOM genereren kost één stap in een pipeline. Honderden ervan bruikbaar houden is het echte werk.

Bijgewerkt op

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Elke vergelijking laat zien waar het andere product goed in is, waarin CRACI verschilt en wanneer u beide zou gebruiken. Zie alle vergelijkingen voor elke categorie.

Wat er bij SBOM-beheer komt kijken

  1. Verzamelen. Breng SBOM's uit uw eigen builds en van leveranciers bijeen, in welk formaat ze ook binnenkomen.
  2. Normaliseren. Breng CycloneDX- en SPDX-bestanden, en de verschillende manieren waarop tools een component benoemen, samen in één consistent overzicht.
  3. Kwaliteit controleren. Spoor op wat ontbreekt, zoals licenties, identifiers of relaties tussen afhankelijkheden. Zie hoe een zwakke SBOM eruitziet.
  4. Monitoren. Blijf opgeslagen SBOM's matchen met nieuwe kwetsbaarheidsgegevens, zodat een advisory uitmondt in een lijst van getroffen releases.
  5. Triëren. Bepaal wat ertoe doet, stuur het naar het verantwoordelijke team en leg de uitkomst vast, bijvoorbeeld in een VEX-verklaring.
  6. Delen. Geef klanten, auditors en toezichthouders de SBOM van de versie waarnaar ze vragen.

Zie voor de gewoonten hierachter best practices voor SBOM's. Bent u nieuw in dit onderwerp, begin dan met wat is een SBOM.

Waarom spreadsheets en mappen niet meer volstaan

Eén product met één SBOM past in een repository. Meerdere producten, elk met ondersteunde versies en leveranciers, niet. De vragen die ertoe doen, lopen dwars door alles heen: welke releases bevatten dit pakket, welke klanten draaien die releases, en sinds wanneer? Dat beantwoorden vanuit een map met JSON-bestanden kost dagen, juist op het moment dat u uren hebt.

Managers, generatoren en vastlegging tijdens de build

  • SBOM-managers zoals Anchore, FOSSA, Cybeats, Manifest, Lineaje en Dependency-Track slaan SBOM's op, analyseren en monitoren ze. Ze beheren de SBOM's die ze krijgen, dus de vastlegging is maar zo volledig als de generator erachter.
  • SBOM-generatoren zoals Syft, Trivy en cdxgen scannen achteraf een map, een image of een lockfile. Wat ze rapporteren, hangt af van de bestanden die ze voor zich hebben. Zie de beste SBOM-tools voor beide groepen naast elkaar.
  • Vastlegging tijdens de build registreert de afhankelijkheden terwijl de build draait. Dit is de aanpak van CRACI.

Waar u op moet letten bij een tool voor SBOM-beheer

  • Importeert zowel CycloneDX als SPDX, en SBOM's van leveranciers als u die nodig hebt
  • Volgt SBOM's per release, niet alleen per repository
  • Controleert opgeslagen SBOM's opnieuw zodra nieuwe kwetsbaarheden worden gepubliceerd
  • Toont relaties tussen afhankelijkheden, zodat een bevinding naar het pakket leidt dat u moet upgraden
  • Ondersteunt triage en VEX, zodat beslissingen bewaard blijven
  • Biedt een manier om SBOM's met klanten te delen, als ze daarom vragen

Waar CRACI past

CRACI legt de SBOM vast terwijl uw GitHub Actions-build draait. Een proxy op de runner die pakketten herkent, legt elk pakket vast dat de job heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet, zodat de SBOM de build beschrijft die het artefact heeft opgeleverd en niet een scan die ergens in de buurt draaide. De SBOM van elke job heeft een volledigheidsstatus, en exports in CycloneDX en SPDX bevatten transitieve afhankelijkheden en de gedeclareerde licentie van elk component. CRACI blijft gemonitorde SBOM's opnieuw beoordelen zodra nieuwe kwetsbaarheden verschijnen, en de inventarisweergave toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd.

Zie voor wat de Cyber Resilience Act van een SBOM vraagt CRA-compliance: SBOM-eisen en tools. Lees meer over SBOM-generatie tijdens de build.

CRACI vergeleken met elke tool

Naast elkaar

Meerdere tools op één pagina, voor als u een categorie kiest en niet één product.

SBOM-beheer: veelgestelde vragen

Wat is SBOM-beheer?

Het is het doorlopende werk van SBOM's verzamelen over producten en leveranciers heen, ze consistent houden, ze monitoren op nieuwe kwetsbaarheden en ze delen met de mensen die ze nodig hebben.

Wat is het verschil tussen een SBOM-generator en een SBOM-manager?

Een generator maakt het SBOM-bestand. Een manager slaat SBOM's uit veel bronnen op en blijft ze controleren. Een manager kan maar zo volledig zijn als de SBOM's die hij ontvangt.

Hebt u een tool voor SBOM-beheer nodig?

Met één product en weinig releases kunnen een generator en zorgvuldige opslag volstaan. Met meerdere producten, ondersteunde versies of SBOM's van leveranciers lopen de vragen door te veel bestanden om ze met de hand te beantwoorden.

Is Dependency-Track een tool voor SBOM-beheer?

Ja. Het is een open-sourceplatform van OWASP dat SBOM's inleest en monitort op bekende kwetsbaarheden. U draait het zelf en levert de SBOM's aan.

Andere categorieën

Bekijk CRACI in uw eigen pipeline

Boek een demo en we lopen samen uw builds, uw SBOM's en uw nalevingsbewijs door.

Demo boeken