观点提炼 美国CISA、ODN等发布《SBOM推荐实践指南》
一、SBOM的价值
1. 高质量的SBOM,可助力企业提升软件供应链安全的可控性
SBOM提高了软件内部组成成分信息与安全态势的可见性。软件内部成分信息的高可见性,对于软件供应链风险管理和整体企业风险管理至关重要。供应商提供给软件需方的SBOM?信息,为需方的风险管理提供了决策依据,同时也不会影响软件供应商的敏感知识产权利益。
如果供应商无法提供其软件的SBOM信息,那么需方应该对供应商提供的软件产品安全性保持怀疑,谨慎考虑与该供应商的合作。当前未暴露出安全问题的软件产品并不代表着永远安全,因此需方在采购时,让供应商进行全方面安全检测,以及提供SBOM信息,对其自身软件产品进行安全合规性声明及保证,才能更好地提升软件供应链安全的可控性。
2.?将SBOM数据转化为“安全情报”,可助企业更高效应对软件供应链风险
SBOM数据与其他软件数据进行关联,在安全问题来临时,可快速还原软件内部的层级与依赖关系,圈定漏洞影响范围,帮助企业快速定位问题,采取措施来降低风险。
同时,通过SBOM还可以降低合规层面的风险——例如:从SBOM中获得的许可信息可以帮助企业确认,在使用开源和第三方许可软件时是否遵守许可要求。
SBOM数据还可为企业提供软件组件最新状态的洞察,以降低因为引用的第三方组件长期未更新,带来的供应链安全风险。
二、如何更好地使用SBOM?
1. 将SBOM作为数据集使用
软件的SBOM仅作为单独的文件格式存在,有点暴殄天物。企业可集成所有软件SBOM?数据,建立SBOM数据管理平台,集中数据管理与数据应用。
同时,只关注SBOM本身是不足够的。想要高效提升软件供应链安全管理能力,仍需将SBOM数据与其他风险信息相关联,允许其他安全管理工具产生的数据,与SBOM管理平台数据产生链接,通过数据汇总、分析、提取并应用到各种管理系统或流程中——包括但不限于采购分析、资产管理、漏洞管理、总体供应链风险管理和合规管理等管理系统。
SBOM数据导入资产管理库、工具或系统,并且通过SCA工具验证并处理完毕以后,SBOM内容可以为企业内多个部门带来有效信息和价值:
- 配置管理数据库(CMDB)
- 软件资产管理?(SAM)?系统
- 安全运营中心?(SOC)
- 采购工作流程
- 软件供应链风险评估和管理功能
2.?实现SBOM自动化处理、分析
当软件数量达到上百数千个的时候,企业想要了解整体的软件安全风险暴露情况,需要手动对SBOM文件进行检查。这显然不现实,因此,倘若通过一个界面,便可快速从成千上万个软件的SBOM中,定位到引用了目标组件的软件,企业的软件供应链风险管理能力将得到显著提升。当然,想要实现以上需求,还需要供应商提供标准化数据格式的SBOM,同时软件需方能拥有自动解析、转换SBOM的工具。
网安云软件物料清单管理平台,安装插件即可快速识别组件信息,自动解析,生成SBOM文件,免费体验地址:https://www.wanyun.cn/
3. 如何验收供应商提供的SBOM?
SBOM的验收主要是针对SBOM完整性以及真实性开展的,在这一环节中比较推荐的做法是生成哈希值的方式来进行。同时为了确保SBOM的完整有效和真实,推荐使用SCA(软件成分分析)工具来对SBOM的内容进行验证以确保该SBOM真实有效。
不仅如此,好的SCA工具还可以将SBOM内容和VEX联系起来,以方便企业做漏洞管理,以及可以了解软件内的依赖关系结构等等,在通过SCA工具对SBOM内容有了全面的了解,并确认无误后,便可以纳入到企业的SBOM使用流程中。
-免费用-网安云·软件物料清单管理平台https://www.wanyun.cn/Product/SBOM
网安云基于开源网安成熟的SCA(软件成分分析)技术能力,深度研发具备全面性、标准化、“互操作性”,且高自动化高可视化的SBOM管理工具——软件物料清单管理平台。
01?全面性SBOM梳理
本平台除了对软件版本、类型、名称、供应商等基本信息进行管理之外,增加对软件内部成分信息(包括但不限于:内部引用组件、许可的版本、来源、调用位置、依赖关系、层次关系等)的梳理与可视化展示。大大降低软件资产的“模糊性”,帮助企业快速摸清家底。
02?安全风险快速溯源
开源网安SBOM管理平台,运用强大的数据分析与图标可视化能力,还原软件内部成分信息之间层次、依赖关系,以及软件基本信息与安全信息之间的关联关系,绘制可视化关系图表。协助客户进行安全风险传导路径分析,快速溯源,圈定影响范围。
03?软件资产动态化管控
实现数据实时采集与分析,秒级的延时粒度,帮助企业及时获取最新的软件安全态势信息,根据内外部安全环境的变化快速调整安全策略,提高安全风险应急能力。
04?软件物料清单标准化
平台严格遵循软件包数据交换(SPDX)标准、OWASP?CycloneDX和软件组件验证(SCVS)标准等三大类国际认可的软件物料清单标准,通过“识别组件-获取数据-构造SBOM”三大步骤,输出标准化的SBOM文件,确保文件格式有效、属性合规。
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。 如若内容造成侵权/违法违规/事实不符,请联系我的编程经验分享网邮箱:veading@qq.com进行投诉反馈,一经查实,立即删除!