lista de materiais de software

Abra sua IDE favorita, acesse seu projeto mais recente e abra seu respectivo arquivo de lock (package-lock.json, go.mod, Pipfile.lock, e assim por diante). Você provavelmente encontrará centenas ou milhares de pacotes e bibliotecas de código aberto, ilustrando exatamente quão amplamente as partes invisíveis e desconhecidas da sua aplicação se espalham.

Uma lista de materiais de software (SBOM) é um inventário semelhante de todos os componentes de software, bibliotecas e dependências dos quais seu aplicativo depende, mas vai além dos nomes de pacotes e versões fixas. Ao agregar dados sobre licenças de código aberto e muito mais, uma SBOM oferece visibilidade completa, que você pode usar para prevenir ataques à Supply chain ou identificar novas vulnerabilidades em uma dependência em duas, três ou mais camadas de profundidade.

Uma SBOM vem em muitos formatos de saída e estruturas de dados diferentes, mas é, em última análise, um banco de dados de artefatos, incluindo seus nomes de pacotes, versões, fontes, licenças, URLs e muito mais. As SBOMs também identificam a relação entre dois artefatos para transparência na rede de dependências da qual seu aplicativo depende.

Embora as SBOMs não sejam particularmente úteis para serem percorridas, elas são extremamente úteis no gerenciamento de vulnerabilidades mais amplo do seu aplicativo. Você pode alimentar as SBOMs dos seus aplicativos em outras ferramentas que oferecem análise de dependências, detecção de malware ou dados de fim de vida (EOL) para garantir que você esteja revelando todas as vulnerabilidades possíveis em seu aplicativo — não apenas as de nível superficial.

A geração de SBOMs é acessível à maioria dos desenvolvedores em seu ambiente de trabalho local — uma opção é uma ferramenta de código aberto, como o Syft, para investigar qualquer imagem de Container ou sistema de arquivos local: