დღეს პროგრამული უზრუნველყოფა უამრავი ღია კოდისა და მესამე მხარის კომპონენტისგან შედგება. რადგან მიწოდების ჯაჭვში ნდობის, ხილვადობისა და კონტროლის საჭიროება იზრდება, OWASP... SBOM standard CycloneDX თანამედროვე AppSec-ის ერთ-ერთ უმნიშვნელოვანეს ინსტრუმენტად იქცა. DevSecOps. დანერგვის შემდეგ, CycloneDX SBOM უზრუნველყოფს სრულ გამჭვირვალობას — პროგრამული უზრუნველყოფიდან და სერვისებიდან დაწყებული, მანქანური სწავლების მოდელებითა და აპარატურული კომპონენტებით დამთავრებული.
ეს უბრალოდ კიდევ ერთი სპეციფიკაცია არ არის - ეს არის მასალების სრული სია, რომელიც გაძლევთ შეუდარებელ წარმოდგენას თქვენი პროგრამული უზრუნველყოფის შესახებ. შემუშავებულია OWASP ფონდიCycloneDX ახლა ოფიციალური ECMA-424-ია standard, რომელიც მხარდაჭერილია ენერგიული გლობალური საზოგადოების მიერ და შექმნილია რისკების მასშტაბური შემცირებისთვის.
რა არის CycloneDX?
თავისი არსით, CycloneDX არის მსუბუქი, თანამედროვე პროგრამული უზრუნველყოფის მასალების სია (SBOM) ფორმატი, რომელიც შექმნილია უსაფრთხოების, ავტომატიზაციისა და რეალური DevSecOps სამუშაო პროცესებისთვის. ის ასევე OWASP-ის საფუძველია. SBOM standard— აღიარებულია გლობალურად და ამჟამად ფორმალიზებულია, როგორც ECMA-424.
CycloneDX ეხმარება გუნდებს, დოკუმენტირება მოახდინონ მათი პროგრამული უზრუნველყოფის ყველა კომპონენტის - ღია კოდის პაკეტებისა და სერვისებიდან დაწყებული, ML მოდელებით, კრიპტოგრაფიული აქტივებითა და აპარატურითაც კი დამთავრებული. სხვა სიტყვებით რომ ვთქვათ, ის გთავაზობთ სრულ ინვენტარს იმის შესახებ, თუ რა ინფორმაციას აგზავნით.
გარდა ამისა, CycloneDX გამოირჩევა შემდეგი შეთავაზებებით:
- მაღალი ავტომატიზაცია და შეუფერხებელი მუშაობა CI/CD ინტეგრაციის
- მრავალი ფორმატი: JSON, XML და პროტოკოლის ბუფერები
- მხარდაჭერა SBOM, სააSBOM, ML-BOM, CBOM და სხვა
- ჩაშენებული გაფართოებები, როგორიცაა VEX, CDXA და ატესტაციები
შედეგად, ის სცილდება დამოკიდებულების ძირითადი თვალყურის დევნების ფარგლებს. CycloneDX საშუალებას იძლევა პროაქტიული რისკების მართვის, დაუცველობაზე რეაგირებისა და მარეგულირებელი ნორმების დაცვის — ყველაფერი ეს იმ ფორმატში, რომლითაც დეველოპერებს რეალურად სურთ მუშაობა.
CycloneDX-ის მაგალითი SBOM (JSON ფრაგმენტი):
{"bomFormat":"CycloneDX","specVersion":"1.4","version":1,"components":[{"type":"library","name":"lodash","version":"4.17.21","purl":"pkg:npm\/lodash@4.17.21"}]}
რატომ CycloneDX? SBOM მნიშვნელოვანია DevSecOps გუნდებისთვის
თუ კოდს აგზავნით, თქვენ ასევე რისკავთ მიწოდებას. CycloneDX ამ რისკს თვალსაჩინოს ხდის.
CycloneDX-თან ერთად SBOMს, თქვენ შეგიძლიათ:
- მოძველებული ან დაუცველი დამოკიდებულებების იდენტიფიცირება
- ლიცენზიის ვალდებულებების გააზრება
- გარდამავალი რისკების ადრეული გამოვლენა
- SSDF-ის მსგავს ჩარჩოებთან თავსებადობა, დორადა NIS2
- კოდის სახით, მხარი დაუჭირეთ გაშვების დროს მთლიანობის დადასტურებას და შესაბამისობას
მოკლედ: თქვენ ავტომატურად და ზუსტად მიიღებთ თქვენი პროგრამული უზრუნველყოფის „კვებითი ღირებულების ეტიკეტს“.
როგორ გამოვიყენოთ CycloneDX SBOM პროგრამული უზრუნველყოფის სასიცოცხლო ციკლის განმავლობაში
CycloneDX SBOM ეს არ არის მხოლოდ ის, რასაც თქვენ ქმნით - ეს არის ის, რასაც იყენებთ. სინამდვილეში, დაუცველობის სკანირებას ახდენთ თუ შესაბამისობის გამარტივებას, აი, როგორ მოაქვს CycloneDX რეალურ ღირებულებას პროგრამული უზრუნველყოფის მთელი სასიცოცხლო ციკლის განმავლობაში:
დაუცველობის მართვა, რომელიც მუშაობს დეველოპერებისთვის
დასაწყისისთვის, რისკების ადრეული იდენტიფიცირება standard იდენტიფიკატორები (CPE, PURL, SWID), რომლებიც ინტეგრირდება SCA ან დამოუკიდებელი სკანერები.
შემდეგ კი, უფრო გონივრულად დაალაგეთ VEX-ის (Vulnerability Exploitability eXchange) გამოყენებით, რათა აჩვენოთ, თუ რომელი CVE-ები გამოიყენება სინამდვილეში თქვენს გარემოში.
უფრო სწრაფად გამოასწორეთ წინასწარი გამოყენების გამოყენებითcisე., რეპროდუცირებადი მონაცემები — CycloneDX ეხმარება თქვენს გუნდს სწორი პატჩის შერჩევაში ნაკლები დროის დახარჯვით.
და ბოლოს, პასუხისმგებლობით გაამჟღავნეთ დაუცველობები ISO-სთან თავსებადი VDR-ების (დაუცველობის გამჟღავნების ანგარიშები) ჩაშენებული მხარდაჭერით. standards.
იდეალურია უსაფრთხოების გუნდებისთვის, პროდუქტის გამყიდველებისთვის და მაღალი უსაფრთხოების გარემოსთვის.
მიწოდების ჯაჭვის ნდობა, მთლიანობა და ავთენტურობა
კომპონენტების მთლიანობის დადასტურება კრიპტოგრაფიული ჰეშების გამოყენებით, რათა უზრუნველყოთ, რომ კომპონენტები არ არის დაზიანებული.
ნდობის კიდევ ერთი ფენის დასამატებლად, ხელი მოაწერეთ SBOMJSF-ის ან XMLsig-ის გამოყენებით წარმოშობისა და ავთენტურობის დასადასტურებლად.
უფრო მეტიც, წარმომავლობისა და გენეალოგიის თვალყურის დევნება ჩრდილოვანი ან არაავტორიზებული ცვლილებების აღმოსაჩენად - რაც მნიშვნელოვანია განაწილებულ გუნდებსა და მესამე მხარის კოდების ბაზებს შორის ნდობის შესანარჩუნებლად.
შესანიშნავია მშენებლობის უსაფრთხოებისთვის pipelineნდობის დამტკიცება ან უსაფრთხოსთან შესაბამისობა SDLC standards.
ყველაფრის ინვენტარიზაცია - პროგრამული უზრუნველყოფა, სერვისები, ხელოვნური ინტელექტის მოდელები, აპარატურა
შექმენით თქვენი დასტის სრული ინვენტარი — კოდის ბიბლიოთეკებიდან და API-ებიდან დაწყებული, ML მოდელებითა და ჩაშენებული მოწყობილობებით დამთავრებული.
გარდა ამისა, შეინარჩუნეთ ხილვადობა კრიპტოგრაფიულ აქტივებზე, როგორიცაა გასაღებები და სერთიფიკატები, რათა უზრუნველყოთ, რომ არაფერი გამორჩეთ ბზარებიდან.
შექმნილია გუნდებისთვის, რომლებიც მართავენ რთულ სტეკებს, მემკვიდრეობით მიღებულ სისტემებს ან რეგულირებად გარემოს.
ლიცენზიების მართვა და ინტელექტუალური საკუთრების მართვა
ავტომატიზირეთ ღია კოდის ლიცენზიის შემოწმებები SPDX მეტამონაცემების გამოყენებით პირდაპირ თქვენს CycloneDX OWASP-ში SBOM.
აუდიტისა და შესყიდვების ციკლების დროს შესაბამისობის შესანარჩუნებლად თვალყური ადევნეთ კომერციულ ლიცენზიებსა და მონაცემთა გამოყენების უფლებებს.
იდეალურია ინჟინერიის ლიდერებისთვის, იურიდიული გუნდებისთვის და ყველასთვის, ვინც OSS პოლიტიკას მართავს.
დამოკიდებულების გრაფიკები და სისტემის არქიტექტურა
ნათლად წარმოადგინეთ როგორც პირდაპირი, ასევე გარდამავალი დამოკიდებულებები.
გაიგეთ, თუ როგორ ურთიერთქმედებენ სერვისები და კომპონენტები თქვენს არქიტექტურაში - დაეხმარეთ გუნდებს სირთულის შემცირებაში, რისკების მართვასა და მუშაობის გაუმჯობესებაში.
იდეალურია როგორც AppSec-ისთვის, DevOps-ისთვის, ასევე სისტემის არქიტექტორებისთვის.
შესაბამისობა და მტკიცებულებების ავტომატიზაცია
ჩარჩოებთან შესაბამისობის მხარდაჭერა, როგორიცაა დორა, SSDFდა NIS2 CycloneDX ატესტაციების (CDXA) გამოყენებით.
ექსპორტი გაუკეთეთ მანქანით წასაკითხ ანგარიშებს და მოაწესრიგეთ მტკიცებულებები აუდიტამდე და არა მის შემდეგ.
მნიშვნელოვანი გამარჯვება CISOS, შესაბამისობის მენეჯერები და რეგულირებადი გუნდები.
ბოლოს და ბოლოს, CycloneDX მხოლოდ ფორმატი არ არის - ეს სამუშაო პროცესის ამაჩქარებელია. Xygeni-ს დახმარებით თქვენ მხოლოდ გენერირებას არ ახდენთ. SBOMs—თქვენ მათ სამუშაოდ აყენებთ, პირდაპირ თქვენს შიგნით pipeline.
როგორ შევქმნათ CycloneDX SBOM წამებში
Xygeni-ის გამოყენებით, CycloneDX-ის გენერირება SBOM სწრაფი, უპრობლემო და სრულად ავტომატიზირებულია. შეგიძლიათ დაიწყოთ მარტივი CLI ბრძანებით ან, თუ გირჩევნიათ, გამოიყენოთ მოსახერხებელი WebUI. ნებისმიერ შემთხვევაში, ის პირდაპირ ინტეგრირდება თქვენს CI/CD pipeline და გთავაზობთ რეალურ დროში, წარმოების დონის SBOMs - დამატებითი ძალისხმევის გარეშე.
გარდა ამისა, Xygeni ამდიდრებს SBOM გამომავალი სიღრმისეული უსაფრთხოების ანალიზით, რაც მას კომპონენტების სტატიკურ სიაზე მეტს ხდის.
ძირითადი შესაძლებლობები:
- ავტომატურად გენერირდება SBOMs აშენების დროს
- მხარს უჭერს CycloneDX და SPDX ფორმატებს
- ამატებს ხელმისაწვდომობას, EPSS ქულებს და ექსპლუატაციის შესაძლებლობის ანალიზს
- კონტექსტური დახარისხებისთვის ჩაშენებულია VDR-ები (დაუცველობის გამჟღავნების ანგარიშები) და VEX
- მხარს უჭერს უსაკვანძო ხელმოწერის და არტეფაქტების მთლიანობის შემოწმებას
დასკვნითი მოსაზრებები: CycloneDX-ის დამზადება SBOMთქვენთვის მუშაობა
სამყაროში, სადაც პროგრამული უზრუნველყოფა ნულიდან კი არა, აწყობილია, ხილვადობა არჩევითი არ არის - ის ფუნდამენტურია. სწორედ ამიტომ standardOWASP-ის მსგავსია SBOMდა კონკრეტულად კი CycloneDX სპეციფიკაცია, აუცილებელი ხდება ინჟინერიის, უსაფრთხოებისა და შესაბამისობის გუნდებისთვის.
გსურთ დაუცველობის მართვის გაუმჯობესება, DORA-სთან ან NIS2-თან ჰარმონიზაცია, თუ უბრალოდ ნდობის მოპოვება თქვენს მიერ გაგზავნილი პროდუქციის მიმართ, CycloneDX... SBOM უზრუნველყოფს თქვენს გუნდებს საჭირო გამჭვირვალობასა და სტრუქტურას.
და Xygeni-სთან ერთად, ყველაფერი SBOM ექსპლუატაციის ქულების გენერირება და რეალურ დროში გამოსწორება ავტომატიზირებულია — რაც თქვენს პროგრამულ უზრუნველყოფას ცოცხალ აქტივად აქცევს და არა მხოლოდ სტატიკურ ფაილად.
👉 მზად ხართ, მოქმედებაში ნახოთ? დაჯავშნეთ თქვენი Xygeni-ის დემო ვერსია დღესვე.
TL;DR – როგორ შეიძლება მავნე კოდმა ზიანი მიაყენოს?
- CycloneDX = OWASP SBOM standard (ECMA-424) გამოიყენება უსაფრთხოების, ლიცენზიისა და კომპონენტების მონაცემების სტრუქტურირებისთვის
- CycloneDX SBOM = ფაილი ან არტეფაქტი, რომელიც შეესაბამება CycloneDX სპეციფიკაციას - თქვენი პროგრამული უზრუნველყოფის მასალების სიას
- OWASP SBOM = თანამედროვე DevSecOps-ისთვის CycloneDX-ის გარშემო აგებული ინსტრუმენტების, ფორმატებისა და ინსტრუქციების სანდო ეკოსისტემა
- ქსიგენი = CycloneDX-ის გენერირების, გამდიდრებისა და მასზე ზემოქმედების უსწრაფესი გზა SBOMs - ავტომატიზირებული, კონტექსტური და CI/CD-მზადაა
