123% fler rapporterade CVE:er per dag 2026 än förra året.

Jämför

SBOM-hantering

SBOM-hantering är det löpande arbetet med att lagra SBOM:er per produkt och release, bevaka dem efter nya sårbarheter och se till att de når dem som frågar efter dem. Att generera en SBOM är ett steg i en pipeline. Att hålla hundratals av dem användbara är det verkliga jobbet.

Uppdaterad

Two routes to a monitored SBOM After the build: files such as source, a lockfile or an image are scanned by a generator such as Syft, Trivy or cdxgen, and the SBOM file goes to a manager such as Anchore, FOSSA, Cybeats, Manifest, Lineaje or Dependency-Track, which stores and monitors it. During the build: CRACI records what the build job fetched and produces an SBOM with a completeness state, which it monitors for new vulnerabilities. After the build generate, then manage Files source, lockfile or image Generator Syft, Trivy, cdxgen SBOM file what the scan could see Manager Anchore, FOSSA, Cybeats, Manifest, Lineaje, D-Track During the build record, then monitor build job on CRACI Recorded every package the job fetched SBOM with a completeness state Monitored for new vulnerabilities

Varje jämförelse visar vad den andra produkten gör bra, var CRACI skiljer sig och när du skulle använda båda. För alla kategorier, se alla jämförelser.

Vad SBOM-hantering innebär

  1. Samla in. Samla SBOM:er från dina egna byggen och från leverantörer, i det format de nu kommer.
  2. Normalisera. För samman CycloneDX- och SPDX-filer, och verktygens olika sätt att namnge en komponent, till en enhetlig vy.
  3. Kontrollera kvaliteten. Hitta det som saknas, som licenser, identifierare eller beroenderelationer. Se hur en svag SBOM ser ut.
  4. Bevaka. Fortsätt att matcha lagrade SBOM:er mot nya sårbarhetsdata, så att ett säkerhetsmeddelande blir en lista över berörda releaser.
  5. Triagera. Avgör vad som är viktigt, skicka det till teamet som äger det och registrera utfallet, till exempel i ett VEX-uttalande.
  6. Dela. Ge kunder, revisorer och tillsynsmyndigheter SBOM:en för den version de frågar om.

För arbetssätten bakom detta, se bästa praxis för SBOM:er. Om ämnet är nytt för dig, börja med vad är en SBOM.

Varför kalkylblad och mappar slutar fungera

En produkt med en SBOM får plats i ett repo. Flera produkter, var och en med egna versioner som stöds och egna leverantörer, gör det inte. Frågorna som spelar roll går tvärs över allihop: vilka releaser innehåller det här paketet, vilka kunder kör de releaserna, och sedan när? Att besvara det från en mapp med JSON-filer tar dagar, just när du har timmar på dig.

Hanteringsverktyg, generatorer och registrering under bygget

  • SBOM-hanteringsverktyg som Anchore, FOSSA, Cybeats, Manifest, Lineaje och Dependency-Track lagrar, analyserar och bevakar SBOM:er. De hanterar de SBOM:er de får, så registreringen är bara så komplett som generatorn bakom den.
  • SBOM-generatorer som Syft, Trivy och cdxgen skannar en katalog, en avbild eller en lockfile i efterhand. Vad de rapporterar beror på filerna de har framför sig. Se de bästa SBOM-verktygen för båda grupperna sida vid sida.
  • Registrering under bygget fångar beroendena medan bygget körs. Det är CRACI:s angreppssätt.

Vad du ska titta efter i ett verktyg för SBOM-hantering

  • Importerar både CycloneDX och SPDX, och SBOM:er från leverantörer om du behöver det
  • Spårar SBOM:er per release, inte bara per repo
  • Kontrollerar lagrade SBOM:er på nytt när nya sårbarheter publiceras
  • Visar beroenderelationer, så att ett fynd leder till paketet som ska uppgraderas
  • Har stöd för triage och VEX, så att besluten bevaras
  • Erbjuder ett sätt att dela SBOM:er med kunder, om de frågar efter dem

Där CRACI passar in

CRACI registrerar SBOM:en medan ditt GitHub Actions-bygge körs. En paketmedveten proxy på runnern registrerar varje paket som jobbet hämtade, inklusive paket som återställs från CI-cachar, så SBOM:en beskriver bygget som producerade artefakten snarare än en skanning som kördes någonstans i närheten. Varje jobbs SBOM har en fullständighetsstatus, och exporter i CycloneDX och SPDX inkluderar transitiva beroenden och varje komponents deklarerade licens. CRACI fortsätter att omvärdera bevakade SBOM:er när nya sårbarheter dyker upp, och dess inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt.

För vad Cyber Resilience Act kräver av en SBOM, se CRA-efterlevnad: SBOM-krav och verktyg. Läs mer om SBOM-generering under bygget.

CRACI jämfört med varje verktyg

Sida vid sida

Flera verktyg på en sida, för när du väljer en kategori, inte en enskild produkt.

SBOM-hantering: vanliga frågor

Vad är SBOM-hantering?

Det är det löpande arbetet med att samla in SBOM:er över produkter och leverantörer, hålla dem enhetliga, bevaka dem efter nya sårbarheter och dela dem med dem som behöver dem.

Vad är skillnaden mellan en SBOM-generator och ett SBOM-hanteringsverktyg?

En generator tar fram SBOM-filen. Ett hanteringsverktyg lagrar SBOM:er från många källor och fortsätter att kontrollera dem. Ett hanteringsverktyg kan bara vara så komplett som de SBOM:er det får.

Behöver du ett verktyg för SBOM-hantering?

Med en produkt och få releaser kan en generator och noggrann lagring räcka. Med flera produkter, versioner som stöds eller SBOM:er från leverantörer spänner frågorna över för många filer för att besvaras för hand.

Är Dependency-Track ett verktyg för SBOM-hantering?

Ja. Det är en open source-plattform från OWASP som tar emot SBOM:er och bevakar dem efter kända sårbarheter. Du driver den själv och tillhandahåller SBOM:erna.

Andra kategorier

Se CRACI i din egen pipeline

Boka en demo så går vi igenom dina byggen, dina SBOM:er och ditt underlag för efterlevnad.

Boka en demo