123% flere rapporterte CVE-er per dag i 2026 enn i fjor.

Sammenlign

SBOM-håndtering

SBOM-håndtering er det løpende arbeidet med å lagre SBOM-er per produkt og utgivelse, overvåke dem for nye sårbarheter og få dem frem til dem som ber om dem. Å generere en SBOM er ett steg i en pipeline. Å holde hundrevis av dem nyttige er den egentlige jobben.

Oppdatert

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Hver sammenligning viser hva det andre produktet gjør godt, hvor CRACI er annerledes, og når du ville brukt begge. For alle kategorier, se alle sammenligninger.

Hva SBOM-håndtering innebærer

  1. Samle inn. Samle SBOM-er fra dine egne bygg og fra leverandører, i det formatet de måtte komme.
  2. Normaliser. Samle CycloneDX- og SPDX-filer, og verktøyenes ulike måter å navngi en komponent på, i én konsistent visning.
  3. Sjekk kvaliteten. Finn det som mangler, for eksempel lisenser, identifikatorer eller avhengighetsrelasjoner. Se hvordan en svak SBOM ser ut.
  4. Overvåk. Fortsett å matche lagrede SBOM-er mot nye sårbarhetsdata, slik at en advisory blir til en liste over berørte utgivelser.
  5. Triager. Bestem hva som betyr noe, send det til teamet som eier det, og registrer utfallet, for eksempel i en VEX-erklæring.
  6. Del. Gi kunder, revisorer og myndigheter SBOM-en for versjonen de spør om.

Vanene bak dette finner du i beste praksis for SBOM. Er du ny på temaet, begynn med hva er en SBOM.

Hvorfor regneark og mapper slutter å fungere

Ett produkt med én SBOM får plass i et repositorium. Flere produkter, hvert med støttede versjoner og leverandører, gjør ikke det. Spørsmålene som betyr noe, går på tvers av alle: Hvilke utgivelser inneholder denne pakken, hvilke kunder kjører de utgivelsene, og siden når? Å svare på det ut fra en mappe med JSON-filer tar dager, akkurat når du bare har timer.

Håndteringsverktøy, generatorer og registrering under bygget

  • Verktøy for SBOM-håndtering som Anchore, FOSSA, Cybeats, Manifest, Lineaje og Dependency-Track lagrer, analyserer og overvåker SBOM-er. De håndterer SBOM-ene de får, så oversikten er bare så fullstendig som generatoren bak den.
  • SBOM-generatorer som Syft, Trivy og cdxgen skanner en mappe, et image eller en lockfile i etterkant. Det de rapporterer, avhenger av filene de har foran seg. Se de beste SBOM-verktøyene for begge gruppene side om side.
  • Registrering under bygget fanger opp avhengighetene mens bygget kjører. Dette er CRACIs tilnærming.

Dette bør du se etter i et verktøy for SBOM-håndtering

  • Importerer både CycloneDX og SPDX, og SBOM-er fra leverandører hvis du trenger det
  • Sporer SBOM-er per utgivelse, ikke bare per repositorium
  • Sjekker lagrede SBOM-er på nytt når nye sårbarheter publiseres
  • Viser avhengighetsrelasjoner, slik at et funn fører til pakken som skal oppgraderes
  • Støtter triage og VEX, slik at beslutninger blir tatt vare på
  • Gir en måte å dele SBOM-er med kunder på, hvis de ber om dem

Hvor CRACI passer inn

CRACI registrerer SBOM-en mens GitHub Actions-bygget ditt kjører. En pakkebevisst proxy på runneren registrerer hver pakke jobben hentet, inkludert pakker gjenopprettet fra CI-cacher, så SBOM-en beskriver bygget som produserte artefakten, ikke en skanning som kjørte et sted i nærheten. Hver jobbs SBOM har en fullstendighetsstatus, og eksporter i CycloneDX og SPDX inkluderer transitive avhengigheter og hver komponents deklarerte lisens. CRACI fortsetter å vurdere overvåkede SBOM-er på nytt etter hvert som nye sårbarheter dukker opp, og inventarvisningen viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt.

Hva Cyber Resilience Act krever av en SBOM, ser du i CRA-samsvar: SBOM-krav og verktøy. Les mer om SBOM-generering under bygget.

CRACI sammenlignet med hvert verktøy

Side om side

Flere verktøy på én side, for når du velger en kategori, ikke ett produkt.

SBOM-håndtering: ofte stilte spørsmål

Hva er SBOM-håndtering?

Det er det løpende arbeidet med å samle inn SBOM-er på tvers av produkter og leverandører, holde dem konsistente, overvåke dem for nye sårbarheter og dele dem med dem som trenger dem.

Hva er forskjellen på en SBOM-generator og et verktøy for SBOM-håndtering?

En generator produserer SBOM-filen. Et håndteringsverktøy lagrer SBOM-er fra mange kilder og fortsetter å sjekke dem. Et håndteringsverktøy kan bare være så fullstendig som SBOM-ene det mottar.

Trenger du et verktøy for SBOM-håndtering?

Med ett produkt og få utgivelser kan en generator og nøye lagring være nok. Med flere produkter, støttede versjoner eller SBOM-er fra leverandører går spørsmålene på tvers av for mange filer til å besvare for hånd.

Er Dependency-Track et verktøy for SBOM-håndtering?

Ja. Det er en plattform med åpen kildekode fra OWASP som tar inn SBOM-er og overvåker dem for kjente sårbarheter. Du kjører det selv og leverer SBOM-ene.

Andre kategorier

Se CRACI i din egen pipeline

Book en demo, så går vi gjennom byggene dine, SBOM-ene dine og samsvarsdokumentasjonen din.

Book en demo