Software Bill of Materials (SBOM)

Twee open standaarden zijn dominant. Hulpmiddelen kunnen meestal tussen beide converteren.

• SPDX — een standaard van de Linux Foundation, sterk op het gebied van licenties en breed geaccepteerd door toezichthouders
• CycloneDX — een standaard van OWASP, gericht op beveiliging en geschikt voor gegevens over kwetsbaarheden en relaties tussen afhankelijkheden

Verzin geen eigen indeling; afnemers en scanners verwachten deze formaten.

Elk onderdeel in een item moet genoeg identiteitsgegevens bevatten om het te kunnen koppelen aan gegevensbronnen met kwetsbaarheden. De belangrijkste velden:

• naam en versie — exact, geen bereik
• PURL (pakket-URL) — een universele aanduiding zoals pkg:npm/lodash@4.17.21
• hash — om de integriteit te controleren
• licentie — SPDX-licentieaanduiding
• leverancier — wie het heeft geproduceerd

Genereer SBOM's automatisch vanuit de broncode of vanuit een gebouwd artefact. Syft is een veelgebruikte generator voor meerdere ecosystemen die beide standaarden kan uitvoeren.

Een SBOM die in verschillende fasen wordt gegenereerd, geeft verschillende werkelijkheden weer.

• Bron-SBOM — wat het manifest opgeeft; kan gebundelde of meegeleverde code missen
• Bouw-SBOM — wat er tijdens het bouwen werkelijk is binnengehaald; het nauwkeurigste beeld voor een uitgave
• SBOM voor uitvoering of uitrol — wat daadwerkelijk aanwezig is in de actieve image, inclusief pakketten van het besturingssysteem

Genereer voor zekerheid over de toeleveringsketen een SBOM tijdens het bouwen vanuit het echte artefact en scan ook de uiteindelijke container op pakketten van het besturingssysteem.

Een SBOM wordt krachtig wanneer je die aan een koppelprogramma aanbiedt dat onderdelen aan bekende CVE's koppelt. Zo staan generatie en analyse los van elkaar: je kunt een oude SBOM scannen op de dag dat een nieuwe CVE verschijnt.

Een SBOM kan een kwetsbaar onderdeel tonen dat in je product in werkelijkheid niet exploiteerbaar is, omdat de kwetsbare functie nooit wordt aangeroepen. Een VEX-document (Vulnerability Exploitability eXchange) legt die beoordeling vast.

VEX vermindert ruis: in plaats van dat elke klant in paniek raakt over een vermelde CVE, publiceer je een verklaring van not_affected met een toelichting, of van affected met herstelmaatregelen. Zo verandert een ruwe inventaris in een bruikbare prioritering.

Een SBOM is alleen betrouwbaar als die authentiek is en aan het exacte artefact is gekoppeld dat erin wordt beschreven. Onderteken de SBOM en voeg die als attestatie toe in plaats van als los bestand.

Handmatige SBOM's raken meteen verouderd. Neem generatie op in de bouwstraat, zodat elke uitgave er een produceert en opslaat als bouwartefact, bij voorkeur ondertekend en gescand in dezelfde taak.

• Genereer vanuit het gebouwde artefact, niet alleen vanuit de codeopslag
• Sla SBOM's op in een doorzoekbaar register dat op versie is geïndexeerd
• Scan opgeslagen SBOM's volgens een schema opnieuw tegen actuele CVE-gegevensbronnen
• Laat uitgaven afhangen van het resultaat van de kwetsbaarheidsscan

SBOM's werken ongemerkt niet wanneer ze als een afvinkpunt worden behandeld.

• Verouderd — één keer gegenereerd en nooit opnieuw gegenereerd
• Onvolledig — mist pakketten van het besturingssysteem en statisch gekoppelde of meegeleverde code
• Niet geverifieerd — geen hash die de SBOM aan het uitgerolde artefact koppelt
• Ongebruikt — geproduceerd maar nooit gescand of doorzocht

Het doel is een nauwkeurige, opnieuw gegenereerde, ondertekende en voortdurend gescande SBOM, niet een eenmalig JSON-bestand.

Je kunt nu inventariseren wat je software bevat en ernaar handelen.

• Een SBOM is een machineleesbare lijst van elk onderdeel, in de indeling SPDX of CycloneDX
• Identificeer onderdelen met PURL, versie, hash en licentie
• Genereer de SBOM tijdens het bouwen en bied die vervolgens aan een koppelprogramma (grype, osv-scanner) aan voor CVE's
• Gebruik VEX om de werkelijke exploiteerbaarheid aan te geven en valse alarmen te verminderen
• Onderteken en automatiseer in CI; scan opgeslagen SBOM's opnieuw tegen nieuwe gegevensbronnen

Vervolgens toon je met ondertekening aan waar artefacten vandaan komen.