Software Bill of Materials
Un SBOM (nomenclature des composants logiciels) recense toutes les dépendances (directes et transitives) avec leurs versions, licences et informations de vulnérabilités.
Objectif
Avoir une vision complète des dépendances afin d'appuyer la réponse aux vulnérabilités et les audits de conformité.
Mécanisme
Formats : SPDX/CycloneDX. Ils décrivent noms des composants, versions, fournisseurs, licences et relations de dépendance ; les outils de génération analysent les gestionnaires de paquets et les artefacts de build. En croisant le SBOM avec les bases de vulnérabilités, on identifie immédiatement les composants touchés.
Cas d’usage
- Suivi des dépendances
- Réponse aux vulnérabilités
- Conformité