什麼是軟體物料清單（SBOM）

把構成軟體的函式庫等元件的名稱、版本、供應者、相依關係等，以機器可讀的格式整理而成的清單。有SPDX、CycloneDX等格式。元件公布弱點時，可迅速找出受影響的產品與版本，也可用於授權管理。以美國2021年5月的行政命令為契機，政府採購等場合越來越常要求提供。

日文名稱: SBOM(ソフトウェア部品表)

「軟體物料清單（SBOM）」出現在2領域的2道練習題中（網路攻擊與防禦實務, 硬體安全的進階主題與趨勢等）。

這個名詞所屬的領域: 網路攻擊與防禦實務

記載了什麼

針對每一個元件，記錄名稱、版本、供應者、可唯一識別的識別碼、雜湊值、授權，以及與其他元件的相依關係。不只直接使用的元件，連元件所使用的元件（遞移相依）也一併納入，就能找出位於深處的有弱點元件。

製作與使用方式

SBOM一般在建置時以工具自動產生，若以人工製作很快就會過時。持續把產生的SBOM與弱點資料庫比對，就能在新弱點公布時迅速找出受影響的產品。出貨產品的企業，會由PSIRT用它來通知客戶。

限制

SBOM是元件的清單，並不保證元件是安全的。清單上有弱點的元件，也不一定在該產品中以實際可被利用的方式使用，因此要搭配是否可被利用的資訊（以VEX等格式傳達）來判斷。

練習軟體物料清單（SBOM）的題目

製作並管理軟體物料清單（SBOM）的主要目的，正確的是下列何者？

A把產品所含函式庫等元件與版本列成清單，在元件的弱點公布時，能立刻找出受影響的產品
B加密軟體的原始碼，讓包含購買產品之使用者在內的第三者無法讀取程式的內容
C從製造產品所用的半導體與電子元件清單，計算元件採購的費用與交期並擬定生產計畫

查看答案與解析

正確答案：A. 把產品所含函式庫等元件與版本列成清單，在元件的弱點公布時，能立刻找出受影響的產品

現今的軟體由大量開源函式庫與其他公司的元件組合而成，元件又依賴其他元件的情形也很常見。SBOM是把這些元件的名稱、版本、供應者、相依關係等，以機器可讀格式（SPDX、CycloneDX等）整理而成的清單。像2021年12月公布的Log4j弱點（Log4Shell）那樣，廣泛使用的元件被發現嚴重弱點時，有了SBOM就能迅速查出哪些產品的哪些版本受到影響。美國在2021年5月的行政命令中，提出了要求供應給政府的軟體提供SBOM的方針。

常見問題

它與半導體或電子元件的物料清單（BOM）有關嗎？

概念相同，是把製造業使用的物料清單（Bill of Materials）套用到軟體上。不過SBOM的元件是函式庫等軟體，主要目的也是弱點與授權的管理。硬體元件的清單有時稱為HBOM。

SBOM應該採用哪種格式？

廣泛使用的是SPDX（以Linux Foundation為中心制定，並已成為國際標準ISO/IEC 5962的格式）與CycloneDX（以OWASP為中心制定的格式），許多工具都能同時處理兩者。可依客戶或法規的要求選擇，也可以在格式之間轉換。

解析中的「軟體物料清單（SBOM）」

SBOM是把這些元件的名稱、版本、供應者、相依關係等，以機器可讀格式（SPDX、CycloneDX等）整理而成的清單。
製作並管理軟體物料清單（SBOM）的主要目的，正確的是下列何者？
相對於把軟體元件（程式庫等）的清單稱為SBOM，HBOM是彙整設備硬體構成的清單。
關於硬體物料清單（HBOM）的說明，正確的是下列何者？