深度解读 | 关于 SBOM 最基础元素，你需要知道的（Part II）

最新推荐文章于 2025-12-15 16:43:26 发布
原创 最新推荐文章于 2025-12-15 16:43:26 发布 · 658 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#源代码管理 #安全 #devops #源码软件

“企业和组织应该将重点放到 SBOM 使用机制的实践和流程上，并且将其集成到安全开发生命周期的日常活动中。”

文章关键词：SBOM；SBOM 最基础元素；数据字段；自动化支持；最佳实践和流程

前文我们围绕“什么是软件基础设施透明度”、“为什么制定最基础 SBOM”、“最基础 SBOM 对各方优势”、“最基础 SBOM 涉及范围”等多个方面，对美国商务部与国家电信和信息管理局（NTIA）发布的 SBOM 最基础元素指南给大家做了一个初步的介绍。

在接下来的文章中，我们会详细为大家介绍 SBOM 最基础元素涉及的三个方面：数据字段、自动化支持与最佳实践和流程。前文提到：“我们对数字基础设施的信任度与基础设施的可信度和透明度成正比。”这些最基础元素代表着本指导意见对于企业和组织对于提升软件供应链安全的最基本要求。后续企业和组织可以针对自身情况在此基础上增加信息来提升软件供应链安全的透明度。

软件的“树状结构”

软件与组件的关系可以用树形结构来表示，软件是由不同的组件组成，而组件也是由很多子组件组成。

图 1.软件组件间的树状结构示意

组件的来源通常是第三方，但也可以是“甲方”，比如说来自同一供应商但能够被唯一识别，作为一个独立的、可跟踪的单元。每一个组件都应该拥有其 SBOM 表来构建这个树形结构。从工具和统一格式构建的这些数据字段可以在流程与实践中获得更多的自动化能力。

数据字段

SBOM 的核心思想是拥有一个一致的、统一的结构

最低0.47元/天 解锁文章
【项目实战】SBOM ，客户让我提供Sbom软件清单？
奶爸的编程之路，也就一周冷个三天，欢迎关注我的微信公众号：本本本添哥
06-08 1495
当前 SBOM 有三种最为主流的格式，他们分别为： SPDX、 SWID以及 CycloneDX。
「 网络安全常用术语解读 」软件物料清单SBOM详解
所有成功的背后，都是痛苦的坚持，所有的痛苦，都是傻瓜般的不放弃!
04-24 3641
软件物料清单（Software Bill of Materials，SBOM）是软件成分信息的集合，SBOM文件中记录了软件产品或服务所使用组件、库、框架的清单，用于描述软件构建过程中使用的所有组件及其关系，以实现软件供应链的自动化识别与管理的需求。SBOM 属性主要包括基线属性集、未确定的属性值、映射到现有的格式、组件关系以及附加元素，
深度解读 | 关于 SBOM 最基础元素，你需要知道的（Part III）
Sectrend的博客
08-31 943
SBOM 要达成的目标还远远没有实现，需要通过不断地创新与迭代来完善，是一个长期的反复的过程。
「 网络安全常用术语解读 」SBOM主流格式SWID详解
所有成功的背后，都是痛苦的坚持，所有的痛苦，都是傻瓜般的不放弃!
05-03 2488
国际标准化组织（ISO）和国际电工委员会（International Electrotechnical Commission，IEC）发布了软件标识（Software Identification，SWID）标签标准，该标准定义了用于描述软件产品的结构化元数据格式。
软件自主可控及供应链安全，一文读懂SBOM、SCA(软件成分分析)与SLSA
极创信息的博客
09-26 668
在软件供应链安全逐渐成为全球焦点的今天，这三个概念频繁出现在安全合规和信创项目中。它们既有区别，又相互联系。本文带你快速理解三者的核心内涵与应用场景。一、SBOM：软件的“配料表”，直译为“软件物料清单”。就像食品必须贴上配料表一样，SBOM要求软件厂商公开软件中包含了哪些组件、版本和来源。核心作用：1.让软件透明化：让用户知道软件用了哪些第三方库和开源组件。2.白盒可追溯：当某个开源组件曝出漏洞时，可以快速定位受影响的软件版本。3.合规性：支持许可证合规审查，避免知识产权风险。
如何在软件项目中生成物料清单（SBOM）
weixin_61856963的博客
04-26 3175
从生成文件内容量看， CycloneDX>SPDX>SWID。CycloneDX：4178行；277KB。SPDX：1389行；135KB。SWID：34行；2KB。SWID插件默认只生成软件包的基本信息，不生成依赖组件的详细信息。SPDX插件默认能够生成软件包和依赖组件的详细信息。此外能够记录源文件基本信息（hasFile）、许可证信息等。CycloneDX插件默认能够生成软件包和依赖组件的详细信息。
SBOM是什么
m0_72410588的博客
05-17 1980
本文介绍了软件构建材料的开放性标准 - SBOM的相关知识。SBOM标准的引入可以帮助企业降低对于软件供应链的风险，并提高软件安全性。而SBOM算法则是实现SBOM标准的重要手段之一，它可以自动化地生成软件构建材料清单，大大提高了软件供应链安全的效率和质量。
SBOM那么重要，到底是怎么生成的？
weixin_55163056的博客
01-12 2256
SCA工具作为当下开源软件治理和软件供应链安全管理重要工具之一，生成SBOM是其重要核心功能之一
【BOM导出最佳实践】：Protel 99se PCB设计深度解析
!... # 摘要 ...从BOM的基础理论与导出流程到Protel 99se中的具体操作，再到实践案例分析与优化策略，系统地介绍了BOM的创建、编辑、导出、导入、审核和管理。本文特别关注了BOM在PCB设计中的关键作用
【OpenBMC编译系统深度揭秘】：Yocto与Poky在BMC开发中的9个关键应用
[【OpenBMC编译系统深度揭秘】：Yocto与Poky在BMC开发中的9个关键应用](https://docs.yoctoproject.org/dev/_images/user-configuration.png) # 1. OpenBMC与BMC开发的演进之路 随着数据中心规模的持续扩张与服务器...
【Yocto元数据管理】：手把手教你创建meta-layer并遵循行业最佳实践
![【Yocto元数据管理】：手把手教你创建meta-layer并遵循行业最佳实践]...# 1. Yocto元数据管理概述与meta-layer核心概念 Yocto项目通过分层机制（Layer）实现元数据的模块化管理，其中`meta-layer`是组织和扩展构建...
K8S系列之7.1：云原生DevOps（CI/CD 在 K8S 中的实践）
最新发布
技术引领业务创新
12-15 740
摘要： 云原生时代下，GitOps已成为DevOps演进的核心实践，通过将Git作为唯一事实源，实现声明式配置、自动化同步和完整审计的现代化交付流程。传统CI/CD存在环境漂移、手动干预等问题，而GitOps通过四大原则（声明式基础设施、版本控制一切、自动化变更分发、闭环监控）构建可靠流水线。Argo CD作为核心引擎，提供高可用架构与生产级部署方案，支持从代码提交到集群部署的自动化同步。通过Kubernetes清单和Helm Chart的版本化管理，结合自动修复与回滚机制，GitOps显著提升了部署效率和
SBOM介绍
weixin_51928869的博客
04-15 4837
介绍软件物料清单（sbom）相关规范和示例
浅谈SBOM（软件物料清单）
panzhixiang
11-17 7346
SBOM是什么，SBOM的作用和实施
业务杂谈：BOM、EBOM、DBOM、MBOM、SBOM、PBOM、CBOM
热门推荐
namelessmyth的专栏
07-23 2万+
三十年前的MRPII、ERP时代，BOM的概念是很纯洁的，它只是Production Plan生产计划子系统中的一个模块，也有专家倒过来说的，历史上是先有BOM的，后有MRP，再有MRPII，然后才发展出ERP的。不管怎么说，BOM是ERP的核心模块。BOM的原始定义是这样的：assembly物料清单是一套完整的、形式上被结构化了的组件清单，该清单描述了产品是如何构成的或是如何装配的。清单中包含了每个组件的说明和对象编号，以及数量和计量单位。
软件物料清单（SBOM）
Flying_Fish_roe的博客
07-15 1355
SBOM（软件物料清单）是记录软件组件、依赖及元数据的结构化清单，用于提升供应链透明度，应对开源组件引发的安全和合规风险。其核心价值包括快速定位漏洞（如Log4Shell）、管理许可证合规及优化软件质量。SBOM需包含供应商、组件、版本等7类核心字段（NTIA标准），主流格式包括SPDX和CycloneDX。实施时需集成自动化工具（如Syft）至CI/CD流程，并通过平台（如Dependency-Track）管理。美国EO 14028等政策强制要求SBOM，亚太地区逐步推进。技术挑战涉及动态依赖追踪
软件供应链安全基础知识（SBOM）--开发安全
专注网络安全，聚焦数据安全。
11-01 2755
首先我先讲讲一个案例，公司之间的合作作为产品经理参与方案整合是一个很正常的事情，但是做一个正在快速发展中的公司和一个已经上市的公司产品经理对接，是否可以想象下不是位置不对等导致交流不通畅（解释下不通畅不是不好交流的意思），而是在产品管理经验以及材料补位的工作上欠缺，比如一个标准的产品材料list，相对照拿出来对比，完全不同，这是大于号小于号的问题。中间就提到关于SBOM清单的问题，我当然不是很理解，也在被动的接受需求快速响应这些我认为是研发要给的东东，作为产品借口人自然开始对接了。了解工艺的人会更加清楚。
「 网络安全常用术语解读 」SBOM主流格式CycloneDX详解
所有成功的背后，都是痛苦的坚持，所有的痛苦，都是傻瓜般的不放弃!
05-03 3707
CycloneDX是软件供应链的现代标准。CycloneDX物料清单（BOM）可以表示软件、硬件、服务和其他类型资产的全栈库存。该规范由OWASP基金会发起并领导，由Ecma International标准化，并得到全球信息安全界的支持，如今CycloneDX已经是OWASP旗舰项目。
SBOM生成之CycloneDX
made4971的博客
05-29 1590
SBOM是一份信息详尽、机器可读的形式化清单，其中囊括了软件所有组件的详尽信息及它们之间的层级关系。
SBOM清单
07-17
### SBOM（软件物料清单）的生成 SBOM的生成是通过解析源代码、依赖项和配置信息来实现的，确保软件供应链的全要素数字化映射。生成过程通常包括代码解析、依赖解析和配置提取三大核心模块。例如，静态分析工具如Black Duck和Snyk能够识别97%以上的第三方组件，结合机器学习算法可以将语义理解的准确率提升至92%。此外，微软Azure DevOps的SBOM生成系统通过API集成GitHub、NPM等12个主流代码仓库，实现从代码提交到物料清单的实时同步[^2]。 在具体的实现中，GitLab构建的SBOM服务展示了依赖解析引擎的工作方式。其依赖解析模块通过正则表达式匹配代码中的`import`和`require`语句，准确率达92%。对于微服务架构，SBOM生成系统还需整合Docker镜像扫描与Kubernetes清单分析，形成多维依赖图谱[^3]。 ### SBOM的解析 SBOM的解析主要依赖于支持的格式和工具。目前主流的SBOM格式包括SPDX、CyclodeX和Syft，这些格式确保了SBOM在不同平台和工具之间的兼容性与互操作性。解析工具通常会根据这些格式提取关键属性，例如组件名称、版本、许可证信息和安全漏洞等。例如，SBOM Scorecard是一款专注于评估SBOM质量的开源工具，它通过对SBOM的关键属性进行评分，帮助开发者和安全专家了解其SBOM是否符合标准以及详细信息的完整性程度[^1]。 ### SBOM的使用场景 SBOM的使用场景广泛，尤其是在软件供应链安全管理中。通过SBOM，企业可以清晰地了解其软件中使用的第三方组件，及时发现潜在的安全漏洞和许可证风险。NIST SP 800-218标准强调了SBOM在软件供应链安全中的重要性，特别是在漏洞管理和合规性审计中。SBOM还可以用于软件产品的透明度提升，帮助客户了解软件的构成，增强信任。 在实际项目中，SBOM的使用还包括自动化构建和持续集成/持续交付（CI/CD）流程中的安全检查。例如，在Gradle的依赖解析过程中，SBOM可以帮助开发者更好地管理依赖配置、版本约束、排除规则、平台约束和依赖替换规则[^4]。 ### SBOM的相关工具 SBOM的生成和管理依赖于一系列工具。除了SBOM Scorecard外，常见的工具还包括Black Duck、Snyk、GitHub Dependabot等。这些工具不仅支持SBOM的生成，还提供漏洞扫描和依赖管理功能。例如，Black Duck和Snyk能够识别97%以上的第三方组件，并结合机器学习算法提升语义理解的准确率[^2]。 以下是一个简单的Python代码示例，展示如何使用Snyk API生成SBOM并进行漏洞扫描： ```python import requests # Snyk API 配置 SNYK_API_TOKEN = "your_snyk_api_token" ORG_ID = "your_organization_id" # 生成SBOM def generate_sbom(project_id): url = f"https://snyk.io/api/v1/org/{ORG_ID}/project/{project_id}/sbom" headers = { "Authorization": f"token {SNYK_API_TOKEN}", "Content-Type": "application/json" } response = requests.post(url, headers=headers) if response.status_code == 200: return response.json()["sbom"] else: raise Exception(f"Failed to generate SBOM: {response.text}") # 漏洞扫描 def scan_vulnerabilities(sbom): url = "https://snyk.io/api/v1/vuln" headers = { "Authorization": f"token {SNYK_API_TOKEN}", "Content-Type": "application/json" } response = requests.post(url, headers=headers, json=sbom) if response.status_code == 200: return response.json()["vulnerabilities"] else: raise Exception(f"Failed to scan vulnerabilities: {response.text}") # 示例使用 project_id = "your_project_id" sbom = generate_sbom(project_id) vulnerabilities = scan_vulnerabilities(sbom) print("Vulnerabilities found:", vulnerabilities) ``` ###
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值