深度解析 | CISA 发布 2025 版 SBOM 最基本要素：软件供应链安全进入新阶段

美国网络安全和基础设施安全局（CISA）于 2025 年 8 月发布了《软件物料清单（SBOM）最基础要素》更新草案，这是自 2021 年 NTIA 发布首个 SBOM 标准以来最重要的一次更新。本文将结合 CISA 官方文档和 OpenSSF 专家观点，为您深度解析此次更新的技术要点和行业影响。

SBOM 最基础要素：为何此时更新？

SBOM 作为软件供应链安全的"基石"，通过机器可读的格式记录软件成分信息，使组织能够快速响应漏洞、管理许可证合规性。经过四年的实践发展，SBOM 工具链和行业实践已显著成熟，原有的 2021 版已无法满足当前需求。 主要驱动因素：

• SBOM 采用率大幅提升，涌现出新用例和应用场景
• SBOM 工具功能显著增强，支持更精细化的数据采集
• 联邦政府软件认证要求（OMB M-22-18 备忘录）的推动

技术要素更新详解：三大类别全面升级

数据字段（Data Fields）更新 

新增字段（3 个）：

Component Hash（组件哈希值）

要求提供组件的加密哈希值（如 SHA-256）

如无法获取原始组件工件（Component Artifact），应明确标注 

对此，行业专家 Lieberman 指出，在软件物料清单（SBOM）中引入组件哈希值可能是最关键的一项改进。由于同一软件包即使版本号相同，若来源不同（如来自 Red Hat 或 Debian），其构建过程也可能存在差异，导致实质上成为不同的组件。哈希值如同唯一指纹，能够精确标识出具体的构建版本，从而在出现安全漏洞时帮助快速定位受影响范围。例如之前的 XZ 后门事件仅波及部分 Linux 发行版，通过比对哈希值即可准确判断自身是否受影响，实现精准修复。此外，记录组件在构建前、构建中或构建后等不同阶段的上下文信息也十分重要，其中构建过程中生成的信息通常最为完整。

更进一步来看，当 CVE 披露某一漏洞时，往往不会覆盖所有代码仓库中的