Өнөөдөр програм хангамжийг тоо томшгүй олон нээлттэй эх сурвалж болон гуравдагч талын бүрэлдэхүүн хэсгүүдээс угсардаг. Нийлүүлэлтийн сүлжээнд итгэлцэл, харагдах байдал, хяналтын хэрэгцээ нэмэгдэхийн хэрээр OWASP SBOM standard CycloneDX нь орчин үеийн AppSec болон бусад салбарын хамгийн чухал хэрэгслүүдийн нэг болж гарч ирсэн. DevSecOps програмуудХэрэгжүүлсэн үед CycloneDX SBOM програм хангамж, үйлчилгээнээс эхлээд машин сургалтын загварууд болон техник хангамжийн бүрэлдэхүүн хэсгүүд хүртэл бүрэн ил тод байдлыг хангадаг.
Энэ бол зүгээр нэг өөр үзүүлэлт биш - энэ бол таны програм хангамжийн дотор юу байгааг харьцуулшгүй ойлголт өгөх бүрэн хэмжээний материалын жагсаалт юм. Хөгжүүлсэн OWASP сан, CycloneDX нь одоо албан ёсны ECMA-424 болсон standard, дэлхийн эрч хүчтэй нийгэмлэгийн дэмжлэгтэйгээр, эрсдэлийг өргөн хүрээнд бууруулах зорилгоор бүтээгдсэн.
Циклон DX гэж юу вэ?
Үндсэндээ CycloneDX нь хөнгөн, орчин үеийн програм хангамжийн материалын жагсаалт юм (SBOM) формат нь аюулгүй байдал, автоматжуулалт болон бодит ертөнцийн DevSecOps ажлын урсгалд зориулагдсан. Энэ нь мөн OWASP-ийн үндэс суурь юм. SBOM standard— дэлхий даяар хүлээн зөвшөөрөгдсөн бөгөөд одоо албан ёсоор болсон ECMA-424.
CycloneDX нь багуудад нээлттэй эхийн багц, үйлчилгээнээс эхлээд машин механизмын загвар, криптографийн хөрөнгө, тэр ч байтугай техник хангамж хүртэлх програм хангамжийнхаа бүх бүрэлдэхүүн хэсгийг баримтжуулахад тусалдаг. Өөрөөр хэлбэл, энэ нь таны тээвэрлэж буй бүх зүйлийн бүрэн жагсаалтыг танд өгөх болно.
Түүнээс гадна, CycloneDX нь дараах саналуудыг санал болгосноороо ялгардаг.
- Өндөр автоматжуулалт болон саадгүй CI/CD интеграцийн
- Олон формат: JSON, XML болон Протоколын буферууд
- Дэмжлэг үзүүлэх SBOM, СааSBOM, ML-BOM, CBOM болон бусад
- VEX, CDXA болон баталгаажуулалт зэрэг суурилуулсан өргөтгөлүүд
Үүний үр дүнд энэ нь үндсэн хамаарлын хяналтаас давсан юм. CycloneDX нь урьдчилан сэргийлэх эрсдэлийн удирдлага, эмзэг байдлын хариу арга хэмжээ, зохицуулалтын нийцлийг бий болгодог бөгөөд эдгээр нь бүгд хөгжүүлэгчдийн үнэхээр хамтран ажиллахыг хүсдэг формат юм.
Жишээ нь CycloneDX SBOM (JSON хэсэг):
Яагаад CycloneDX? SBOM DevSecOps багуудын хувьд чухал зүйл
Хэрэв та код илгээж байгаа бол тээвэрлэлтийн эрсдэлийг мөн адил нэмэгдүүлж байна. CycloneDX нь энэ эрсдэлийг ил тод болгодог.
CycloneDX-тэй хамт SBOMс, та дараахийг хийж болно:
- Хуучирсан эсвэл эмзэг хамааралтай байдлыг тодорхойлох
- Лицензийн үүргийг ойлгох
- Шилжилтийн эрсдэлийг эрт илрүүлэх
- SSDF гэх мэт фрэймворкуудтай уялдуулах, ДОРАБолон NIS2
- Ажиллах хугацааны бүрэн бүтэн байдлын баталгаажуулалт болон нийцлийг код хэлбэрээр дэмжинэ
Товчхондоо: Та програм хангамжийнхаа "тэжээлийн шошго"-г автоматаар, үнэн зөв авах болно.
CycloneDX-ийг хэрхэн ашиглах вэ SBOM Програм хангамжийн амьдралын мөчлөгийн туршид
Циклон DX SBOM зүгээр л таны үүсгэдэг зүйл биш, харин таны ашигладаг зүйл юм. Үнэндээ та эмзэг байдлыг хайж байгаа эсвэл нийцлийг хялбарчилж байгаа эсэхээс үл хамааран CycloneDX нь програм хангамжийн амьдралын мөчлөгийн туршид бодит үнэ цэнийг хэрхэн авчирдагийг энд харуулав.
Хөгжүүлэгчдэд зориулсан эмзэг байдлын менежмент
Эхлээд ашиглах эрсдэлийг эрт тодорхойлох хэрэгтэй standard -тай нэгтгэдэг танигч (CPE, PURL, SWID) SCA эсвэл бие даасан сканнерууд.
Дараа нь VEX (Vulnerability Exploitability eXchange) ашиглан илүү ухаалаг ангилж, аль CVE нь таны орчинд үнэхээр хамааралтай болохыг харуулна уу.
Урьдчилан тохируулсан аргаар илүү хурдан засахcise, хуулбарлах боломжтой өгөгдөл—CycloneDX нь танай багт зөв нөхөөс дээр урагш хойш бага хурдтайгаар ажиллахад тусалдаг.
Эцэст нь, ISO-той нийцсэн VDR (Эмзэг байдлын ил тод байдлын тайлан)-д зориулсан суурилагдсан дэмжлэгтэйгээр эмзэг байдлыг хариуцлагатайгаар илчилнэ үү. standards.
Аюулгүй байдлын баг, бүтээгдэхүүн нийлүүлэгчид болон өндөр баталгаатай орчинд тохиромжтой.
Нийлүүлэлтийн сүлжээний итгэлцэл, бүрэн бүтэн байдал ба жинхэнэ байдал
Криптографийн хэш ашиглан бүрэлдэхүүн хэсгийн бүрэн бүтэн байдлыг баталгаажуулж, бүрэлдэхүүн хэсгүүдэд өөрчлөлт ороогүй эсэхийг шалгана уу.
Итгэлцлийн өөр давхарга нэмэхийн тулд гарын үсэг зурна уу SBOMгарал үүсэл болон жинхэнэ эсэхийг баталгаажуулахын тулд JSF эсвэл XMLsig ашиглана уу.
Түүнээс гадна, тархсан багууд болон гуравдагч талын кодын баазуудын хооронд итгэлцлийг хадгалахын тулд сүүдрийн болон зөвшөөрөлгүй өөрчлөлтийг илрүүлэхийн тулд гарал үүсэл, удам угсааг хянах хэрэгтэй.
Барилгыг аюулгүй болгоход маш сайн pipelineитгэлцлийг батлах, эсвэл аюулгүй байдлыг хангах SDLC standards.
Бүх зүйлийг бүртгэлд оруулах—Програм хангамж, үйлчилгээ, хиймэл оюун ухааны загварууд, техник хангамж
Кодын сан болон API-уудаас эхлээд ML загварууд болон суулгагдсан төхөөрөмжүүд хүртэлх стекийнхээ бүрэн жагсаалтыг гарга.
Түүнчлэн, түлхүүр, гэрчилгээ зэрэг криптографийн хөрөнгийн харагдах байдлыг хадгалж, юу ч алдагдахгүй байхыг баталгаажуулна уу.
Нарийн төвөгтэй стек, хуучин систем эсвэл зохицуулалттай орчныг удирддаг багуудад зориулан бүтээгдсэн.
Лицензийн менежмент ба Оюуны өмчийн засаглал
CycloneDX OWASP доторх SPDX мета өгөгдлийг ашиглан нээлттэй эхийн лицензийн шалгалтыг автоматжуулна уу SBOM.
Аудит болон худалдан авалтын мөчлөгийн үеэр хууль тогтоомжийн шаардлагыг хангахын тулд арилжааны лиценз болон өгөгдөл ашиглах эрхийг хянах.
Инженерийн удирдлага, хуулийн багууд болон OSS бодлогыг удирддаг хэн бүхэнд тохиромжтой.
Хамаарлын график ба системийн архитектур
Шууд болон шилжилтийн хамаарлуудыг тодорхой байдлаар дүрслэн харуул.
Үйлчилгээ болон бүрэлдэхүүн хэсгүүд таны архитектурт хэрхэн харилцан үйлчилдэгийг ойлгож, багуудад нарийн төвөгтэй байдлыг бууруулах, эрсдэлийг удирдах, гүйцэтгэлийг сайжруулахад тусалдаг.
AppSec, DevOps болон системийн архитекторуудад төгс тохирно.
Дагаж мөрдөх болон нотлох баримтын автоматжуулалт
гэх мэт хүрээний нийцлийг дэмжих ДОРА, SSDFБолон NIS2 CycloneDX Attestations (CDXA) ашиглан.
Машинаар уншигдахуйц тайланг экспортлож, нотлох баримтыг аудитын дараа биш, харин аудитын өмнө цэгцэл.
Том ялалт CISҮйл ажиллагаа эрхлэгчид, зохицуулалттай багууд болон нийцлийн менежерүүд.
Эцсийн эцэст, CycloneDX нь зүгээр нэг формат биш, харин ажлын урсгалын хурдасгуур юм. Xygeni-тэй бол та зүгээр л үүсгэхгүй SBOMчи тэднийг чиний дотор ажиллуулдаг pipeline.
CycloneDX-ийг хэрхэн үүсгэх вэ SBOM секундэд
Xygeni-тэй хамт CycloneDX үүсгэж байна SBOM хурдан, үрэлтгүй, бүрэн автоматжуулсан. Та энгийн CLI командаас эхэлж болно эсвэл хүсвэл ээлтэй WebUI ашиглаж болно. Аль ч тохиолдолд энэ нь таны компьютерт шууд нэгтгэгддэг. CI/CD pipeline мөн бодит цагийн, үйлдвэрлэлийн түвшинг хүргэдэг SBOMс - нэмэлт хүчин чармайлт шаардахгүй.
Үүнээс гадна, Xygeni нь баяжуулдаг SBOM аюулгүй байдлын гүнзгий ойлголттой гаралт нь зүгээр л бүрэлдэхүүн хэсгүүдийн статик жагсаалтаас илүү юм.
Гол чадварууд:
- Автоматаар үүсгэдэг SBOMбарилгын ажлын явцад
- CycloneDX болон SPDX форматуудыг дэмждэг
- Хүрэх боломж, EPSS оноо болон ашиглалтын талаарх ойлголтуудыг нэмдэг
- Контекстийн ангиллын хувьд VDR (Эмзэг байдлын ил тод байдлын тайлан) болон VEX-ийг оруулдаг
- Түлхүүргүй гарын үсэг зурах болон эд өлгийн зүйлсийн бүрэн бүтэн байдлын шалгалтыг дэмждэг
Эцсийн бодол: CycloneDX хийх SBOMТаны төлөө ажиллана
Програм хангамжийг эхнээс нь бүтээдэггүй, угсардаг ертөнцөд харагдах байдал нь заавал байх албагүй - энэ бол үндсэн зүйл юм. Тийм ч учраас standardOWASP шиг SBOM, ялангуяа CycloneDX-ийн үзүүлэлтүүд нь инженерчлэл, аюулгүй байдал, нийцлийн багуудад чухал болж байна.
Та эмзэг байдлын менежментийг сайжруулах, DORA эсвэл NIS2-той нийцүүлэх, эсвэл зүгээр л тээвэрлэж буй зүйлдээ итгэх итгэлийг олж авахыг хүсч байгаа эсэхээс үл хамааран CycloneDX-ийг ашиглаарай. SBOM танай багуудад шаардлагатай ил тод байдал, бүтцийг бий болгодог.
Xygeni-тэй хамт бүх зүйл SBOM Үүсгэлтээс ашиглалтын чадвар хүртэлх оноо болон бодит цагийн нөхөн сэргээлтийг автоматжуулсан бөгөөд энэ нь таны програм хангамжийн материалын жагсаалтыг зүгээр нэг статик файл биш, харин амьд хөрөнгө болгон хувиргадаг.
👉 Үүнийг бодитоор нь харахад бэлэн үү? Өнөөдөр Xygeni демогоо захиалаарай.
TL;DR – Хортой код хэрхэн хохирол учруулж болох вэ?
- CycloneDX = OWASP SBOM standard (ECMA-424) нь аюулгүй байдал, лиценз болон бүрэлдэхүүн хэсгийн өгөгдлийг бүтцэд оруулахад ашиглагддаг
- CycloneDX SBOM = CycloneDX техникийн шаардлагыг дагаж мөрддөг файл эсвэл эд өлгийн зүйл - таны бодит програм хангамжийн материалын жагсаалт
- OWASP SBOM = Орчин үеийн DevSecOps-д зориулсан CycloneDX-ийн эргэн тойронд бүтээгдсэн багаж хэрэгсэл, формат болон удирдамжийн найдвартай экосистем
- Ксигени = CycloneDX дээр үүсгэх, баяжуулах, үйлчлэх хамгийн хурдан арга SBOMs—автоматжуулсан, контекст болон CI/CD-бэлэн
