ソフトウェア部品表 (SBoM)

お気に入りのIDEを開き、最新のプロジェクトに移動して、それぞれのロックファイル（package-lock.json, go.mod, Pipfile.lockなど）を開いてみてください。おそらく何百、何千ものオープンソースパッケージやライブラリが見つかるでしょう。これは、アプリケーションの目に見えない未知の部分がいかに広範囲に及んでいるかを正確に示しています。

ソフトウェア部品表（SBOM）は、アプリケーションが依存するすべてのソフトウェアコンポーネント、ライブラリ、および依存関係の同様のインベントリですが、パッケージ名や固定バージョンよりも深く掘り下げます。オープンソースライセンスなどに関するデータを集約することで、SBOMは完全な可視性を提供し、サプライチェーン攻撃を防いだり、2層、3層、あるいはそれ以上深い依存関係における新しい脆弱性を特定したりするために活用できます。

SBOMはさまざまな出力形式とデータ構造で提供されますが、最終的にはパッケージ名、バージョン、ソース、ライセンス、URLなどを含むアーティファクトのデータベースです。SBOMはまた、アプリケーションが依存する依存関係の網の透明性を高めるために、2つのアーティファクト間の関係を特定します。

SBOMはスクロールして確認するのに特に便利ではありませんが、アプリケーションのより広範な脆弱性管理において非常に役立ちます。アプリケーションのSBOMを、依存関係スキャン、マルウェア検出、またはライフサイクル終了 (EOL) データを提供する他のツールに投入することで、表面レベルの脆弱性だけでなく、アプリケーション内のあらゆる潜在的な脆弱性を確実に表面化させることができます。

SBOMの生成は、ほとんどの開発者がローカルの作業環境で実行できます。一つの選択肢として、Syftのようなオープンソースツールを使用して、コンテナイメージやローカルファイルシステムを調査する方法があります。