Software Bill of Materials
Ein SBOM (Software Bill of Materials) listet alle Abhängigkeiten (direkte und transitive) mit Versionen, Lizenzen und Schwachstelleninformationen auf.
Zweck
Das vollständige Abhängigkeitsbild nachvollziehen, um Schwachstellenreaktion und Compliance-Audits zu unterstützen.
Mechanismus
Formate: SPDX/CycloneDX. Sie beschreiben Komponentennamen, Versionen, Lieferanten, Lizenzen und Abhängigkeitsbeziehungen; Erzeugungstools scannen Paketmanager und Build-Artefakte. Der Abgleich des SBOM mit Schwachstellendatenbanken lokalisiert betroffene Komponenten sofort.
Anwendungsfälle
- Abhängigkeitsverfolgung
- Schwachstellenreaktion
- Compliance