Může identifikovat vlastní komponenty i komponenty třetích stran, verze, dodavatele, jedinečné identifikátory, vztahy závislostí a informace o tom, kdy a jak byl záznam vytvořen.
SBOM dává producentům a spotřebitelům sdílený inventář pro otázky jako přítomnost komponenty, které produkty mohou být postiženy novými informacemi a kde je potřeba přezkum licence či údržby. Strojově čitelné standardy jako SPDX a CycloneDX činí tyto informace snáze vyměnitelnými a automatizovatelnými. SBOM musí být stále vázán na konkrétní vydání či artefakt a udržován aktuální, jak se software mění.
Klíčové body
Základní informaceAutor SBOM, producent softwaru, názvy a verze komponent, identifikátory a hashe, licence, vztahy závislostí, nástroj a kontext generování, časové razítko a deklarované pokrytí.
Provozní využitíObjevování komponent, vyšetřování zranitelností, přezkum licencí, komunikace s dodavateli, korelace aktiv a porovnávání mezi vydáními softwaru.
Kontroly kvalityGenerujte blízko autoritativního buildu, zahrňte tranzitivní a vestavěné komponenty, uveďte známé limity úplnosti, validujte identifikátory, chraňte integritu a definujte pravidla sdílení.
Důležité omezeníSBOM je inventář, nikoli verdikt o zranitelnosti či exploitovatelnosti. Může ukázat, že komponenta je přítomna, aniž by ukázal, zda je postižený kód dosažitelný, nakonfigurovaný či mitigován.