Mis on Tarkvara materjalide loend
Tarkvarakomponentide loend
SBOM (Software Bill of Materials) on ametlik loend kõigist tarkvaratootes kasutatud komponentidest, teekidest ja sõltuvustest.
Mida SBOM sisaldab
- Otsesed sõltuvused — projektis selgesõnaliselt kaasatud teegid
- Transitiivsed sõltuvused — pesastatud teegid
- Metaandmed — versioonid, litsentsid, räsid
- Tarnija teave — komponendi allikas
SBOM-vormingud
- SPDX — Linux Foundationi standard
- CycloneDX — OWASPi standard
- SWID Tags — ISO/IEC 19770-2
Miks SBOM on oluline
- Sõltuvuste haavatavuste haldamine
- Regulatiivne vastavus
- Tarkvara tarneahela läbipaistvus
- Kiire reageerimine ohtudele (Log4Shell)
Loomise tööriistad
- Syft — CLI Anchore'ilt
- Trivy — skanner Aqua Securitylt
- npm/yarn audit — sisseehitatud tööriistad
- GitHub Dependency Graph — automaatne loomine