網路攻擊與防禦實務
製作並管理軟體物料清單（SBOM）的主要目的，正確的是下列何者？
- A把產品所含函式庫等元件與版本列成清單，在元件的弱點公布時，能立刻找出受影響的產品
- B加密軟體的原始碼，讓包含購買產品之使用者在內的第三者無法讀取程式的內容
- C從製造產品所用的半導體與電子元件清單，計算元件採購的費用與交期並擬定生產計畫
查看答案與解析
正確答案：A. 把產品所含函式庫等元件與版本列成清單，在元件的弱點公布時，能立刻找出受影響的產品
現今的軟體由大量開源函式庫與其他公司的元件組合而成，元件又依賴其他元件的情形也很常見。SBOM是把這些元件的名稱、版本、供應者、相依關係等，以機器可讀格式（SPDX、CycloneDX等）整理而成的清單。像2021年12月公布的Log4j弱點（Log4Shell）那樣，廣泛使用的元件被發現嚴重弱點時，有了SBOM就能迅速查出哪些產品的哪些版本受到影響。美國在2021年5月的行政命令中，提出了要求供應給政府的軟體提供SBOM的方針。
- A. 正確。有了元件清單，就能立刻調查弱點的影響範圍。
- B. SBOM是元件的清單，並不是加密原始碼的東西。
- C. 它與電子元件的物料清單（BOM）不同，對象是軟體的元件。