Оршил
2025 оны 8-р сарын 22-нд Кибер аюулгүй байдал болон дэд бүтцийн аюулгүй байдлын агентлаг (CISА) 2025 оны Програм хангамжийн материалын хуулийн төслийн хамгийн бага элементүүдийн төслийг нийтэлсэн (SBOM). Энэхүү шинэчлэлт нь NTIA-ийн 2021 оны хүрээн дээр үндэслэсэн бөгөөд хэр их болохыг тусгасан болно SBOM standardс боловсорч гүйцсэн. Хөгжүүлэгчид болон аюулгүй байдлын багуудын хувьд энэ бол эргэлтийн цэг юм. Хамгийн гол нь шинэ CISA SBOM удирдамжийн ээлж SBOMстатик шалгах хуудаснаас програм хангамжийн эрсдэлийн менежментийг бэхжүүлж, програм хангамжийн хангамжийн сүлжээг хамгаалдаг практик хэрэгслүүд хүртэл.
Албан ёсны ноорог хувилбарыг эндээс авах боломжтой. CISА'с SBOM нөөцийн хуудас мөн шууд татаж авах боломжтой PDF.
CISA SBOM NTIA 2021-тэй харьцуулбал: Шинэчлэлт яагаад чухал вэ
Анхны NTIA SBOM Хамгийн бага элементүүд (2021) ил тод байдлын суурь шугамыг бий болгосон. Тухайн үед хэрэглээ хязгаарлагдмал байсан бөгөөд багаж хэрэгсэл нь боловсорч гүйцээгүй байсанХурдан урагшлах, SBOMодоо агентлагууд болон enterprises, хамт CI/CD интеграци ба автоматжуулалт хэвийн үзэгдэл болж байна.
The CISA SBOM 2025 оны "Минимум Элементүүд" энэхүү хувьслыг онцолж байна. Үнэндээ тэд шаардлагыг өндөрсгөж байна SBOM standardбагууд програм хангамжийн эрсдэлийн тасралтгүй менежментэд ашиглаж болох илүү баялаг өгөгдөл, илүү их автоматжуулалт, үйл ажиллагааны боломжтой ойлголтуудыг шаардах замаар.
Шинэ зүйл юу байна CISA SBOM 2025 оны хамгийн бага элементүүд
| Бүрэлдэхүүн | NTIA 2021 | CISA SBOM 2025 | Багуудад үзүүлэх практик нөлөө |
|---|---|---|---|
| Компонент Хэш | Тодорхойлоогүй байна | Нэмэгдсэн (криптографийн бүрэн бүтэн байдал) | Олдворуудыг шалгаж, өөрчлөлтийг илрүүлэх; тиймээс шалгах нийлбэр/гарын үсэг баталгаажуулалтыг хэрэгжүүлнэ үү CI/CD. |
| Лицензийн | Тодорхойлоогүй байна | Нэмэгдсэн (хууль эрх зүйн болон дэмжлэгийн эрсдэл) | OSS лицензийн нийцлийг автоматжуулах; үүнээс гадна, PR эсвэл бүтээх үед нийцгүй лицензүүдийг хаах. |
| Хэрэгслийн нэр | Тодорхойлоогүй байна | Нэмэгдсэн (генераторын тунгалаг байдал) | Ул мөр үлдээ SBOM гарал үүсэл; улмаар, standardIze SBOM генераторын багаж хэрэгсэл pipeline. |
| Үеийн нөхцөл байдал | Тодорхойлоогүй байна | Нэмэгдсэн (барихаас өмнөх / баригдах үеийн / барьсны дараах) | Зөв үе шатыг сонгоно уу SBOM бүтээх. Жишээлбэл, бүтээх хугацаа SBOMдахин бүтээх чадварыг сайжруулж, бүтээсний дараа SBOMүйл ажиллагааны аюулгүй байдлын үүднээс байрлуулсан эд өлгийн зүйлсийг хураан авах. |
| Програм хангамж үйлдвэрлэгч | "Нийлүүлэгчийн нэр" | Нэрийг нь өөрчилж, тодруулсан | Өмчлөлийн хоёрдмол байдлыг багасгах; тодруулахын тулд Үйлдвэрлэгчийг өөрийн хуулийн этгээдтэй холбоно уу SBOM мета өгөгдөл. |
| Хамрах хүрээ | "Гүн" (хязгаарлагдмал) | Бүрэн хамрах хүрээ (шууд + шилжилтийн) | Бүрэн хамаарлын графикийг баталгаажуулах; Тиймээс lockfile болон manifest файлуудаас дамжуулалтыг оруулах. |
| Мэдэгдэж буй үл мэдэгдэх зүйлс | Тодорхой бус зохицуулалт | Илэрхий (дутуу эсвэл хасагдсан) | Цоорхойг ил тод тэмдэглэх; үүнээс гадна, алга болсон бүрэлдэхүүн хэсгийн өгөгдлийг шийдвэрлэхийн тулд дараагийн үйлдлүүдийг нээх. |
Эдгээр шинэчлэлтүүд програм хангамжийн эрсдэлийн менежментэд яагаад чухал вэ
Шинэ SBOM Хамгийн бага элементүүд эргүүл SBOMпрактик эрсдэлийн хэрэгслүүд рүү. Түүнээс гадна, тэд орчин үеийн хэв маягт шууд нийцдэг програм хангамжийн эрсдэлийн удирдлага байгууллагуудад туслах замаар:
- Хөрвүүлэлтийг илрүүлэхийн тулд хэш ашиглан бүрэн бүтэн байдлыг шалгана уу.
- Холбоос ашиглан эмзэг байдлыг илүү хурдан олоорой SBOMVEX болон CSAF-ийн зөвлөгөөтэй хамт.
- Хууль эрх зүйн эрсдэлийг бууруулахын тулд лицензийн шалгалтыг автоматжуулна.
- Бодитоор ашиглагдаж байгаа хамаарлууд дээр анхаарлаа төвлөрүүл.
- шинэчлэх SBOMхувилбар бүрийн хувьд болон шинэ мэдээлэл гарч ирэх бүрт s.
- эзлэх хувь SBOMDevOps дээр масштаблахын тулд API, репозитор эсвэл хувилбарлагдсан URL хаягаар дамжуулан хялбархан хийж болно.
Үр дүнд нь, SBOMтасралтгүй хамгаалалтыг дэмждэг амьд баримт бичиг болж байна. Эцэст нь, энэ загвар нь гол дүрэм журмуудтай нийцэж байна, тухайлбал EO 14028 (АНУ), NIST-ийн удирдамж, Европын Холбооны Кибер аюулгүй байдлын стратеги, FDA-ийн удирдамж, болон CMMC.
Дагаж байна CISA SBOM DevOps дахь удирдамж pipelines
Шинэ зүйлийг дагахын тулд CISA SBOM Хамгийн бага элементүүд, байгууллагууд үйл явц болон хэрэгслүүдийг хоёуланг нь тохируулах ёстой:
- автомат хэрэглэх SBOM хувилбар бүрийн үеийнх CI/CD.
- Шууд болон шууд бус хамаарлыг хоёуланг нь хамарна.
- Flag Мэдэгдэж буй үл мэдэгдэх зүйлс тодорхой.
- Дахин хянана уу SBOMшинэ мэдээлэл гарч ирэх үед.
- эзлэх хувь SBOMAPI, репозитор эсвэл URL хаягуудаар дамжуулан s.
- Гарын үсэг ашиглан жинхэнэ эсэхийг баталгаажуулна уу SPDX болон CycloneDX SBOM standards.
Тиймээс дагаж мөрдөх гэдэг нь бүтээн байгуулалт гэсэн үг юм SBOM төгсгөлд нь нэмэхийн оронд хөгжүүлэлтийн ажлын урсгал руу оруулах. Түүнчлэн, энэ нь хөгжүүлэгчид, аюулгүй байдлын багууд болон нийцлийн менежерүүд бүгд програм хангамжийн эрсдэлийн талаарх нэгдсэн, найдвартай үзэл бодлыг хуваалцах боломжийг олгодог.
Xygeni багуудад хэрхэн амжилтад хүрэх, давуу талыг нь олоход нь тусалдаг вэ CISA SBOM standards
Ксигени -тай нийцэж байна CISA SBOM Хамгийн бага элементүүд аюулгүй байдлын илүү гүнзгий чадавхтай тул тэдгээрийн үнэ цэнийг тасралтгүй өргөжүүлдэг:
- CI/CD нэгтгэх: автомат хэрэглэх SBOM SPDX болон CycloneDX-д бүх зүйлд зориулсан үе pipeline.
- Баяжуулах: Бүрэн харагдах байдлын тулд хэш, лиценз болон хэрэгслийн мета өгөгдлийг нэмнэ үү.
- Эмзэг байдлын ил тод байдлын тайлан (VDR): Холбоос SBOM бодит эмзэг байдал, нөлөөлөл, нөхөн сэргээх стратеги бүхий өгөгдөл.
- Тэргүүлэх чиглэл: Хүрэх чадварын шинжилгээг хослуулах EPSS оноо хамгийн их ашиглагдах магадлалтай эмзэг байдалд анхаарлаа төвлөрүүлэх.
- Эрт анхааруулах систем: Бүтээлд нөлөөлөхөөс өмнө бүртгэлд сэжигтэй багцуудыг илрүүлэх.
- Дагаж мөрдөх хаалга: мөрдүүлэх SBOM шалгадаг pull requests мөн бүтээдэг бөгөөд аюултай нэгтгэлүүдийг хааж байна.
- Нууц болон хортой програм хангамж илрүүлэх: Өргөтгөсөн SBOMсуулгагдсан нууц эсвэл хортой кодын хэв маяг руу харагдах байдалтай s.
- Хиймэл оюун ухааны автомат засвар: Аюулгүй үүсгэх pull requests контекстэд мэдрэмтгий засваруудтай, эргүүлж байна SBOM яаралтай залруулах чиглэлээр гарсан үр дүнгүүд.
- Баталгаажуулалт: Бүрийг баталгаажуул SBOM гарын үсэг зурсан, мөрдөх боломжтой бөгөөд итгэмжлэгдсэн.
Үүнээс гадна, суулгах SBOM Хөгжүүлэгчийн ажлын урсгалд үүсгэх, баталгаажуулах, нөхөн сэргээх нь нийцлийг урьдчилан сэргийлэх програм хангамжийн эрсдэлийн удирдлага болгон хувиргадаг. Юуны өмнө энэ нь багуудад эрсдэлийг үйлдвэрлэлд орохоос нь өмнө урьдчилан сэргийлэх боломжийг олгож, аудитын үеэр төлөвшсөн байдлыг харуулдаг.
Xygeni хэрхэн үүсдэгийг ажиглаарай SBOMтаны дотор pipeline
Дүгнэлт
The CISA SBOM 2025 оны хамгийн бага элементүүд харуулах SBOMs нь одоо орчин үеийн аюулгүй байдлын гол хэсэг болсон. Сайжруулснаар SBOM standards мөн тэдгээрийг хөгжүүлэлтэд шууд нэмэх pipelines, CISА нь байгууллагууд тодорхой байдал, автоматжуулалт болон тасралтгүй байдалд хүрч чадна гэдэгт итгэлтэй байдаг. програм хангамжийн эрсдэлийн удирдлага.
Үүний үр дүнд эдгээр туршлагыг дагаж мөрддөг багууд зөвхөн нийцлийг олж авахаас гадна илүү хүчтэй тэсвэр тэвчээрийг олж авдаг. Xygeni-ийн тусламжтайгаар та нийцтэй байдлыг бий болгож чадна SBOMs, ашигтай контекст нэмж, аюулгүй байдлыг хангана уу pipelineхөгжлийг удаашруулахгүйгээр.
Демогоо өнөөдөр захиалаарай мөн Xygeni хэрхэн бүтээдэгийг хараарай CISA SBOM дагаж мөрдөх нь энгийн.
