คืออะไร รายการส่วนประกอบซอฟต์แวร์
รายการส่วนประกอบซอฟต์แวร์
SBOM (Software Bill of Materials) คือรายการอย่างเป็นทางการของส่วนประกอบ ไลบรารี และ dependencies ทั้งหมดที่ใช้ในผลิตภัณฑ์ซอฟต์แวร์
SBOM ประกอบด้วยอะไร
- Dependencies โดยตรง — ไลบรารีที่รวมอยู่ในโปรเจกต์โดยชัดเจน
- Dependencies แบบทอดผ่าน — ไลบรารีที่ซ้อนกัน
- เมตาดาต้า — เวอร์ชัน ใบอนุญาต แฮช
- ข้อมูลซัพพลายเออร์ — แหล่งที่มาของส่วนประกอบ
รูปแบบ SBOM
- SPDX — มาตรฐาน Linux Foundation
- CycloneDX — มาตรฐาน OWASP
- SWID Tags — ISO/IEC 19770-2
ทำไม SBOM จึงสำคัญ
- การจัดการช่องโหว่ใน dependencies
- การปฏิบัติตามกฎระเบียบ
- ความโปร่งใสของห่วงโซ่อุปทานซอฟต์แวร์
- การตอบสนองอย่างรวดเร็วต่อภัยคุกคาม (Log4Shell)
เครื่องมือสร้าง
- Syft — CLI จาก Anchore
- Trivy — เครื่องสแกนจาก Aqua Security
- npm/yarn audit — เครื่องมือในตัว
- GitHub Dependency Graph — การสร้างอัตโนมัติ