Poate identifica componente proprii și terțe, versiuni, furnizori, identificatori unici, relații de dependență și informații despre când și cum a fost creată înregistrarea.
Un SBOM le oferă producătorilor și consumatorilor un inventar comun pentru întrebări precum dacă o componentă este prezentă, ce produse pot fi afectate de informații noi și unde este nevoie de revizuire de licențe sau mentenanță. Standardele citibile automat precum SPDX și CycloneDX fac aceste informații mai ușor de schimbat și automatizat. SBOM-ul trebuie totuși legat de o lansare sau un artefact specific și păstrat actual pe măsură ce software-ul se schimbă.
Puncte esențiale
Informații de bazăAutorul SBOM, producătorul software-ului, numele și versiunile componentelor, identificatori și hash-uri, licențe, relații de dependență, instrumentul și contextul de generare, marcajul temporal și acoperirea declarată.
Utilizări operaționaleDescoperirea componentelor, investigarea vulnerabilităților, revizuirea licențelor, comunicarea cu furnizorii, corelarea activelor și compararea între lansări de software.
Controale de calitateGenerați aproape de build-ul autoritativ, includeți componente tranzitive și încorporate, precizați limitele cunoscute de completitudine, validați identificatorii, protejați integritatea și definiți reguli de partajare.
Limitare importantăUn SBOM este un inventar, nu un verdict de vulnerabilitate sau exploitabilitate. Poate arăta că o componentă este prezentă fără a arăta dacă codul afectat este accesibil, configurat sau atenuat.