Mais 123% CVE comunicadas por dia em 2026 do que no ano passado.

Comparar

Gestão de SBOM

A gestão de SBOM é o trabalho contínuo de guardar SBOM por produto e por versão, monitorizá-las face a novas vulnerabilidades e fazê-las chegar a quem as pede. Gerar uma SBOM é um único passo num pipeline. Manter centenas delas úteis é o verdadeiro trabalho.

Atualizado a

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Cada comparação indica o que o outro produto faz bem, em que o CRACI é diferente e quando faria sentido usar ambos. Para todas as categorias, consulte todas as comparações.

O que implica a gestão de SBOM

  1. Recolher. Reúna as SBOM dos seus próprios builds e dos fornecedores, no formato em que chegarem.
  2. Normalizar. Junte os ficheiros CycloneDX e SPDX, e as diferentes formas como as ferramentas dão nome a um componente, numa única vista coerente.
  3. Verificar a qualidade. Encontre o que falta, como licenças, identificadores ou relações de dependência. Consulte como é uma SBOM fraca.
  4. Monitorizar. Continue a cruzar as SBOM guardadas com novos dados de vulnerabilidades, para que um aviso de segurança se transforme numa lista de versões afetadas.
  5. Fazer a triagem. Decida o que importa, envie-o para a equipa responsável e registe o resultado, por exemplo numa declaração VEX.
  6. Partilhar. Dê aos clientes, auditores e reguladores a SBOM da versão sobre a qual perguntam.

Para os hábitos por detrás disto, consulte as boas práticas de SBOM. Se o tema é novo para si, comece por o que é uma SBOM.

Porque é que as folhas de cálculo e as pastas deixam de funcionar

Um produto com uma SBOM cabe num repositório. Vários produtos, cada um com versões suportadas e fornecedores, não cabem. As perguntas que importam atravessam todos eles: que versões contêm este pacote, que clientes usam essas versões, e desde quando? Responder a isso a partir de uma pasta de ficheiros JSON demora dias, precisamente quando só tem horas.

Gestores, geradores e registo durante o build

  • Os gestores de SBOM, como o Anchore, o FOSSA, o Cybeats, o Manifest, o Lineaje e o Dependency-Track, guardam, analisam e monitorizam SBOM. Gerem as SBOM que recebem, pelo que o registo só é tão completo quanto o gerador que está por detrás dele.
  • Os geradores de SBOM, como o Syft, o Trivy e o cdxgen, analisam um diretório, uma imagem ou um lockfile a posteriori. O que reportam depende dos ficheiros que têm à frente. Consulte as melhores ferramentas de SBOM para ver os dois grupos lado a lado.
  • O registo durante o build capta as dependências enquanto o build é executado. É esta a abordagem do CRACI.

O que procurar numa ferramenta de gestão de SBOM

  • Importa tanto CycloneDX como SPDX, e SBOM de fornecedores, se precisar delas
  • Acompanha as SBOM por versão, não apenas por repositório
  • Volta a verificar as SBOM guardadas à medida que são publicadas novas vulnerabilidades
  • Mostra as relações de dependência, para que uma conclusão conduza ao pacote a atualizar
  • Suporta a triagem e o VEX, para que as decisões fiquem guardadas
  • Oferece uma forma de partilhar SBOM com os clientes, se estes as pedirem

Onde o CRACI se enquadra

O CRACI regista a SBOM enquanto o seu build de GitHub Actions é executado. Um proxy que reconhece pacotes no runner regista cada pacote que o job obteve, incluindo pacotes restaurados de caches de CI, pelo que a SBOM descreve o build que produziu o artefacto, e não uma análise executada algures ali perto. A SBOM de cada job indica um estado de completude, e as exportações em CycloneDX e SPDX incluem as dependências transitivas e a licença declarada de cada componente. O CRACI continua a reavaliar as SBOM monitorizadas à medida que surgem novas vulnerabilidades, e a sua vista de inventário mostra exatamente que versões de software estão implementadas em que produtos, a nível global.

Para saber o que o Cyber Resilience Act exige de uma SBOM, consulte conformidade com o CRA: requisitos e ferramentas de SBOM. Saiba mais sobre a geração de SBOM durante o build.

O CRACI comparado com cada ferramenta

Lado a lado

Várias ferramentas numa só página, para quando está a escolher uma categoria e não um produto.

Gestão de SBOM: perguntas frequentes

O que é a gestão de SBOM?

É o trabalho contínuo de recolher SBOM de vários produtos e fornecedores, mantê-las coerentes, monitorizá-las face a novas vulnerabilidades e partilhá-las com quem precisa delas.

Qual é a diferença entre um gerador de SBOM e um gestor de SBOM?

Um gerador produz o ficheiro SBOM. Um gestor guarda SBOM de muitas fontes e continua a verificá-las. Um gestor só pode ser tão completo quanto as SBOM que recebe.

Precisa de uma ferramenta de gestão de SBOM?

Com um produto e poucas versões, um gerador e um armazenamento cuidadoso podem bastar. Com vários produtos, versões suportadas ou SBOM de fornecedores, as perguntas atravessam demasiados ficheiros para serem respondidas à mão.

O Dependency-Track é uma ferramenta de gestão de SBOM?

Sim. É uma plataforma open source da OWASP que importa SBOM e as monitoriza face a vulnerabilidades conhecidas. É a sua equipa que a executa e fornece as SBOM.

Outras categorias

Veja o CRACI no seu próprio pipeline

Marque uma demo e analisaremos consigo os seus builds, as suas SBOM e as suas evidências de conformidade.

Marcar demo