Was ist SBOM (Software Bill of Materials)?
Abkürzung für Software Bill of Materials. Maschinenlesbare Liste von Name, Version, Lieferant, Abhängigkeiten usw. der Komponenten wie Bibliotheken, aus denen eine Software besteht. Formate sind unter anderem SPDX und CycloneDX. Wird eine Schwachstelle in einer Komponente bekannt, lassen sich die betroffenen Produkte und Versionen sofort bestimmen; auch für das Lizenzmanagement ist sie nutzbar. Angestoßen durch eine Executive Order der USA vom Mai 2021 wird sie zunehmend etwa bei öffentlichen Beschaffungen verlangt.
Japanische Bezeichnung: SBOM(ソフトウェア部品表)
„SBOM (Software Bill of Materials)“ kommt in 2 Übungsfragen aus 2 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis, Aktuelle Entwicklungen der Hardwaresicherheit.
Fachgebiet: Cyberangriffe und Abwehr in der Praxis
Was sie enthält
Für jede einzelne Komponente werden Name, Version, Lieferant, eine Kennung zur eindeutigen Bestimmung, Hashwert, Lizenz und Abhängigkeiten von anderen Komponenten erfasst. Werden nicht nur die direkt verwendeten Komponenten, sondern auch die von ihnen verwendeten (transitive Abhängigkeiten) aufgenommen, lassen sich auch tief verborgene verwundbare Komponenten finden.
Häufige Fragen
Hat sie etwas mit der Stückliste (BOM) für Halbleiter und elektronische Bauteile zu tun?
Das Prinzip ist dasselbe: Die in der Fertigung verwendete Stückliste (Bill of Materials) wird auf Software übertragen. Die Komponenten einer SBOM sind jedoch Software wie Bibliotheken, und ihr Zweck ist vor allem das Management von Schwachstellen und Lizenzen. Eine Liste von Hardwarekomponenten wird manchmal HBOM genannt.
In welchem Format sollte man eine SBOM erstellen?
Weit verbreitet sind SPDX (federführend von der Linux Foundation entwickelt und als ISO/IEC 5962 auch internationale Norm) und CycloneDX (federführend von OWASP entwickelt); viele Werkzeuge beherrschen beide. Man wählt nach den Anforderungen von Geschäftspartnern und Vorschriften und kann zwischen den Formaten auch konvertieren.