Może identyfikować komponenty własne i stron trzecich, wersje, dostawców, unikalne identyfikatory, relacje zależności oraz informacje o tym, kiedy i jak rekord został utworzony.
SBOM daje producentom i konsumentom wspólny inwentarz dla pytań takich jak czy komponent jest obecny, które produkty mogą być dotknięte nowymi informacjami i gdzie potrzebny jest przegląd licencji lub utrzymania. Maszynowo czytelne standardy takie jak SPDX i CycloneDX ułatwiają wymianę i automatyzację tych informacji. SBOM musi nadal być związany z konkretnym wydaniem lub artefaktem i utrzymywany aktualny wraz ze zmianami oprogramowania.
Najważniejsze punkty
Kluczowe informacjeAutor SBOM, producent oprogramowania, nazwy i wersje komponentów, identyfikatory i hasze, licencje, relacje zależności, narzędzie generujące i kontekst, znacznik czasu oraz deklarowane pokrycie.
Zastosowania operacyjneOdkrywanie komponentów, badanie podatności, przegląd licencji, komunikacja z dostawcami, korelacja zasobów i porównywanie wydań oprogramowania.
Kontrole jakościGeneruj blisko autorytatywnej budowy, uwzględniaj komponenty przechodnie i wbudowane, określaj znane granice kompletności, waliduj identyfikatory, chroń integralność i definiuj zasady udostępniania.
Istotne ograniczenieSBOM jest inwentarzem, a nie werdyktem o podatności lub eksploitowalności. Może pokazywać, że komponent jest obecny, bez pokazywania, czy dotknięty kod jest osiągalny, skonfigurowany lub złagodzony.