えすぼむ
Software Bill of Materialsの略。ソフトウェアを構成するライブラリなどの部品の名前、版、提供元、依存の関係などを、機械で読める形式でまとめた一覧。SPDXやCycloneDXなどの形式がある。部品に脆弱性が公表されたときに、影響を受ける製品や版をすぐに特定でき、ライセンスの管理にも使える。米国の2021年5月の大統領令をきっかけに、政府の調達などで求められるようになってきている。
「SBOM(ソフトウェア部品表)」は、2分野の2問の練習問題に出てきます(サイバー攻撃と防御の実務, ハードウェアセキュリティの最新動向など)。
この用語の分野: サイバー攻撃と防御の実務
1つ1つの部品について、名前、版、提供元、一意に特定するための識別子、ハッシュ値、ライセンス、ほかの部品との依存の関係を記録します。直接使っている部品だけでなく、部品が使っている部品(推移的な依存)まで含めることで、深いところにある脆弱な部品も見つけられます。
SBOMは、ビルドのときにツールで自動で作るのが一般的で、手作業で作るとすぐに古くなります。作ったSBOMを脆弱性のデータベースと照らし合わせ続けることで、新しい脆弱性が公表されたときに、影響を受ける製品を素早く洗い出せます。製品を出荷する企業では、PSIRTが顧客への連絡に使います。
SBOMは部品の一覧で、部品が安全であることを保証するものではありません。また、一覧に載った脆弱な部品が、その製品で実際に悪用できる形で使われているとは限らないので、悪用できるかどうかの情報(VEXなどの形式で伝えられます)と組み合わせて判断します。
正解：A. 製品に含まれるライブラリなどの部品と版を一覧にし、部品の脆弱性が公表されたときに、影響する製品をすぐ見つける
現在のソフトウェアは、多くのオープンソースのライブラリや他社の部品を組み合わせて作られ、部品がさらに別の部品に依存していることも多くあります。SBOMは、こうした部品の名前、版、提供元、依存の関係などを、機械で読める形式(SPDXやCycloneDXなど)でまとめた一覧です。2021年12月に公表されたLog4jの脆弱性(Log4Shell)のように、広く使われる部品に深刻な脆弱性が見つかったとき、SBOMがあれば、どの製品のどの版が影響を受けるかを素早く調べられます。米国では2021年5月の大統領令で、政府に納めるソフトウェアについてSBOMの提供を求める方針が示されました。
考え方は同じで、製造業で使われてきた部品表(Bill of Materials)を、ソフトウェアに当てはめたものです。ただし、SBOMの部品はライブラリなどのソフトウェアで、目的も主に脆弱性とライセンスの管理です。ハードウェアの部品の一覧は、HBOMと呼ばれることがあります。
広く使われているのは、SPDX(Linux Foundationが中心となって作り、ISO/IEC 5962として国際規格にもなった形式)と、CycloneDX(OWASPが中心となって作った形式)で、多くのツールが両方を扱えます。取引先や規制の要求に合わせて選び、形式の間で変換することもできます。
SBOMは、こうした部品の名前、版、提供元、依存の関係などを、機械で読める形式(SPDXやCycloneDXなど)でまとめた一覧です。
SBOM(ソフトウェア部品表)を作って管理する主な目的として、正しいものはどれか。ソフトウェアの部品(ライブラリなど)の一覧をSBOMと呼ぶのに対し、HBOMは機器のハードウェアの構成をまとめた一覧です。
ハードウェアの部品表(HBOM)の説明として、正しいものはどれか。Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。
HBOM(ハードウェア部品表) IoC(侵害の痕跡) EDR(Endpoint Detection and Response) インシデントレスポンス サイバーキルチェーン サプライチェーン攻撃 SIEM(セキュリティ情報イベント管理) 侵入検知システム(IDS) セキュリティオペレーションセンター ゼロトラスト