ယနေ့ခေတ်ဆော့ဖ်ဝဲလ်ကို မရေမတွက်နိုင်သော open source နှင့် third-party components များမှ စုစည်းထားပါသည်။ ထောက်ပံ့ရေးကွင်းဆက်တစ်လျှောက် ယုံကြည်မှု၊ မြင်သာမှုနှင့် ထိန်းချုပ်မှုအတွက် လိုအပ်ချက်တိုးပွားလာသည်နှင့်အမျှ OWASP SBOM standard CycloneDX သည် ခေတ်သစ် AppSec တွင် အရေးအကြီးဆုံးကိရိယာများထဲမှ တစ်ခုအဖြစ် ပေါ်ထွက်လာခဲ့သည်။ DevSecOpsCycloneDX ကို အကောင်အထည်ဖော်သောအခါ SBOM ဆော့ဖ်ဝဲနှင့် ဝန်ဆောင်မှုများမှစ၍ စက်သင်ယူမှုပုံစံများနှင့် ဟာ့ဒ်ဝဲအစိတ်အပိုင်းများအထိ အပြည့်အဝပွင့်လင်းမြင်သာမှုကို ပေးစွမ်းသည်။
ဒါက နောက်ထပ် သတ်မှတ်ချက်တစ်ခု မဟုတ်ပါဘူး—ဒါဟာ သင့်ရဲ့ ဆော့ဖ်ဝဲလ်ထဲမှာ ဘာတွေပါဝင်လဲဆိုတာကို ယှဉ်နိုင်စရာမရှိတဲ့ ထိုးထွင်းသိမြင်မှုပေးစွမ်းနိုင်တဲ့ full-stack Bill of Materials တစ်ခုပါ။ တီထွင်သူ OWASP ဖောင်ဒေးရှင်းCycloneDX သည် ယခုအခါ တရားဝင် ECMA-424 ဖြစ်သည် standardတက်ကြွသော ကမ္ဘာလုံးဆိုင်ရာ အသိုက်အဝန်းမှ ကျောထောက်နောက်ခံပြုထားပြီး အန္တရာယ်လျှော့ချရေးအတွက် တည်ဆောက်ထားသည်။
CycloneDX ဆိုတာ ဘာလဲ။
အဓိကအားဖြင့် CycloneDX သည် ပေါ့ပါးပြီး ခေတ်မီသော Software Bill of Materials (ဆော့ဖ်ဝဲလ်စာရင်း) တစ်ခုဖြစ်သည်။SBOM) လုံခြုံရေး၊ အလိုအလျောက်လုပ်ဆောင်ခြင်းနှင့် လက်တွေ့ကမ္ဘာ DevSecOps လုပ်ငန်းစဉ်များအတွက် တည်ဆောက်ထားသော ဖော်မတ်။ ၎င်းသည် OWASP ၏ အခြေခံအုတ်မြစ်လည်းဖြစ်သည်။ SBOM standard- ကမ္ဘာတစ်ဝှမ်းတွင် အသိအမှတ်ပြုထားပြီး ယခုအခါ တရားဝင်အဖြစ် အသိအမှတ်ပြုထားပါသည်။ ECMA-424.
CycloneDX သည် အဖွဲ့များအား ၎င်းတို့၏ software ရှိ အစိတ်အပိုင်းတိုင်းကို မှတ်တမ်းတင်ရန် ကူညီပေးသည် - open source packages များနှင့် services များမှ ML models များ၊ cryptographic assets များနှင့် hardware အထိပင်။ တစ်နည်းအားဖြင့် သင်ပို့ဆောင်နေသည့်အရာအားလုံး၏ အပြည့်အစုံစာရင်းကို ပေးသည်။
ထို့အပြင် CycloneDX သည် အောက်ပါတို့ကို ပေးဆောင်ခြင်းဖြင့် ထူးခြားသည်-
- အလိုအလျောက်လုပ်ဆောင်နိုင်စွမ်းမြင့်မားပြီး ချောမွေ့စွာလုပ်ဆောင်နိုင်ခြင်း CI/CD ပေါင်းစည်းမှု
- ဖော်မတ်များစွာ- JSON၊ XML နှင့် Protocol Buffers
- မှုအတွက်ပံ့ပိုးမှု SBOM၊ ဆာSBOM၊ ML-BOM၊ CBOM နှင့် အခြားအရာများ
- VEX၊ CDXA နှင့် အသိအမှတ်ပြုလက်မှတ်များကဲ့သို့သော built-in extension များ
ရလဒ်အနေဖြင့်၊ ၎င်းသည် အခြေခံမှီခိုမှုခြေရာခံခြင်းထက် ကျော်လွန်ပါသည်။ CycloneDX သည် ကြိုတင်ကာကွယ်မှုအန္တရာယ်စီမံခန့်ခွဲမှု၊ အားနည်းချက်တုံ့ပြန်မှုနှင့် စည်းမျဉ်းစည်းကမ်းလိုက်နာမှုတို့ကို developer များ အမှန်တကယ်လုပ်ဆောင်လိုသောပုံစံဖြင့် ပြုလုပ်နိုင်စေပါသည်။
CycloneDX ဥပမာ SBOM (JSON အတိုအထွာ):
ဘာကြောင့် CycloneDX လဲ SBOM DevSecOps အဖွဲ့များအတွက် အရေးကြီးသောကိစ္စ
သင်က ပို့ဆောင်ရေးကုဒ်ကို အသုံးပြုနေတယ်ဆိုရင် ပို့ဆောင်ရေးအန္တရာယ်လည်း ရှိပါတယ်။ CycloneDX က အဲဒီအန္တရာယ်ကို မြင်သာအောင် လုပ်ပါတယ်။
CycloneDX ဖြင့် SBOMs၊ သင်လုပ်နိုင်သည်-
- ခေတ်မမီတော့သော သို့မဟုတ် အားနည်းသော မှီခိုမှုများကို ဖော်ထုတ်ပါ
- လိုင်စင်တာဝန်ဝတ္တရားများကို နားလည်ခြင်း
- အသွင်ကူးပြောင်းရေးအန္တရာယ်များကို စောစောစီးစီး ရှာဖွေတွေ့ရှိပါ
- SSDF ကဲ့သို့သော မူဘောင်များနှင့် ချိန်ညှိပါ။ ဒိုရာနှင့် NIS2
- ကုဒ်အဖြစ် runtime သမာဓိစစ်ဆေးခြင်းနှင့် လိုက်နာမှုကို ပံ့ပိုးပါ
တိုတိုပြောရရင်: သင့်ဆော့ဖ်ဝဲအတွက် “အာဟာရအညွှန်း” ကို အလိုအလျောက်နှင့် တိကျစွာ ရရှိမည်ဖြစ်သည်။
CycloneDX ကို ဘယ်လိုအသုံးပြုမလဲ။ SBOM ဆော့ဖ်ဝဲလ်သက်တမ်းတစ်လျှောက်
CycloneDX SBOM သင်ဖန်တီးပေးရုံသက်သက်မဟုတ်ဘဲ သင်အသုံးပြုတဲ့အရာပါ။ အမှန်တော့၊ အားနည်းချက်တွေကို စကင်ဖတ်နေတာပဲဖြစ်ဖြစ်၊ လိုက်နာမှုကို ပိုမိုကောင်းမွန်အောင်လုပ်ဆောင်နေတာပဲဖြစ်ဖြစ်၊ CycloneDX က ဆော့ဖ်ဝဲလ်သက်တမ်းတစ်လျှောက်မှာ တကယ့်တန်ဖိုးကို ဘယ်လိုယူဆောင်လာပေးလဲဆိုတာ ဒီမှာပါ။
ဆော့ဖ်ဝဲရေးသားသူများအတွက် အလုပ်ဖြစ်သော အားနည်းချက်စီမံခန့်ခွဲမှု
အစပိုင်းမှာ အန္တရာယ်တွေကို စောစောစီးစီး ဖော်ထုတ်ပြီး အသုံးပြုပါ။ standard နှင့် ပေါင်းစပ်ထားသော identifiers (CPE၊ PURL၊ SWID) SCA သို့မဟုတ် သီးခြားစကင်နာများ။
ထို့နောက် မည်သည့် CVE များသည် သင့်ပတ်ဝန်းကျင်နှင့် အမှန်တကယ် သက်ဆိုင်သည်ကို ပြသရန် VEX (Vulnerability Exploitability eXchange) ဖြင့် ပိုမိုစမတ်ကျသော ရွေးချယ်မှု ပြုလုပ်ပါ။
ကြိုတင်အသုံးပြုခြင်းဖြင့် ပိုမိုမြန်ဆန်စွာ ပြုပြင်ပါcise၊ ပြန်လည်ထုတ်လုပ်နိုင်သောဒေတာ—CycloneDX သည် သင့်အဖွဲ့အား ရှေ့နောက်နည်းပါးစွာဖြင့် မှန်ကန်သောပြင်ဆင်မှုကို အာရုံစိုက်ရန် ကူညီပေးသည်။
နောက်ဆုံးအနေနဲ့ ISO နဲ့ ကိုက်ညီတဲ့ VDR (Vulnerability Disclosure Reports) အတွက် built-in support နဲ့ အားနည်းချက်တွေကို တာဝန်သိသိနဲ့ ထုတ်ဖော်ပါ။ standards.
လုံခြုံရေးအဖွဲ့များ၊ ထုတ်ကုန်ရောင်းချသူများနှင့် အာမခံချက်မြင့်မားသောပတ်ဝန်းကျင်များအတွက် အသင့်တော်ဆုံးဖြစ်သည်။
ထောက်ပံ့ရေးကွင်းဆက် ယုံကြည်မှု၊ သမာဓိနှင့် စစ်မှန်မှု
အစိတ်အပိုင်းများကို ခိုးယူထားခြင်းမရှိကြောင်း သေချာစေရန် cryptographic hash များကို အသုံးပြု၍ အစိတ်အပိုင်းများ၏ တည်တံ့မှုကို အတည်ပြုပါ။
ယုံကြည်မှုအလွှာတစ်ခုထပ်ထည့်ရန် လက်မှတ်ထိုးပါ SBOMJSF သို့မဟုတ် XMLsig ကို အသုံးပြု၍ မူရင်းနှင့် စစ်မှန်မှုကို အတည်ပြုသည်။
ထို့အပြင်၊ ဖြန့်ကျက်ထားသောအဖွဲ့များနှင့် ပြင်ပကုဒ်အခြေခံများတွင် ယုံကြည်မှုကို ထိန်းသိမ်းရန်အတွက် အဓိကသော့ချက်ဖြစ်သည့် အရိပ် သို့မဟုတ် ခွင့်ပြုချက်မရှိဘဲ ပြောင်းလဲမှုများကို ရှာဖွေတွေ့ရှိရန် မူရင်းနှင့် မျိုးရိုးဗီဇကို ခြေရာခံပါ။
တည်ဆောက်မှုကို လုံခြုံစေရန်အတွက် အလွန်ကောင်းမွန်ပါသည် pipelineယုံကြည်မှုကို သက်သေပြခြင်း သို့မဟုတ် လုံခြုံစိတ်ချရသော အခြေအနေနှင့် ကိုက်ညီခြင်း SDLC standards.
အရာအားလုံးကို စာရင်းပြုစုပါ—ဆော့ဖ်ဝဲ၊ ဝန်ဆောင်မှုများ၊ AI မော်ဒယ်များ၊ ဟာ့ဒ်ဝဲ
ကုဒ်စာကြည့်တိုက်များနှင့် API များမှ ML မော်ဒယ်များနှင့် embedded device များအထိ သင့် stack ၏ စာရင်းအပြည့်အစုံကို ရယူပါ။
ထို့အပြင်၊ သော့များနှင့် လက်မှတ်များကဲ့သို့သော ကုဒ်ဝှက်ထားသော ပိုင်ဆိုင်မှုများကို မြင်သာအောင် ထိန်းသိမ်းထားပြီး မည်သည့်အရာမှ လွတ်ကျခြင်းမရှိစေရန် သေချာစေပါ။
ရှုပ်ထွေးသော stack များ၊ legacy စနစ်များ သို့မဟုတ် ထိန်းညှိထားသောပတ်ဝန်းကျင်များကို စီမံခန့်ခွဲနေသော အဖွဲ့များအတွက် တည်ဆောက်ထားသည်။
လိုင်စင်စီမံခန့်ခွဲမှုနှင့် IP အုပ်ချုပ်မှု
သင့်ရဲ့ CycloneDX OWASP ထဲမှာ SPDX metadata ကို အသုံးပြုပြီး open-source လိုင်စင်စစ်ဆေးမှုတွေကို အလိုအလျောက်လုပ်ဆောင်ပါ။ SBOM.
စာရင်းစစ်များနှင့် ဝယ်ယူမှုစက်ဝန်းများအတွင်း လိုက်နာမှုရှိစေရန်အတွက် ကူးသန်းရောင်းဝယ်ရေးလိုင်စင်များနှင့် ဒေတာအသုံးပြုမှုအခွင့်အရေးများကို ခြေရာခံပါ။
အင်ဂျင်နီယာခေါင်းဆောင်များ၊ ဥပဒေအဖွဲ့များနှင့် OSS မူဝါဒများကို စီမံခန့်ခွဲသူတိုင်းအတွက် အသင့်တော်ဆုံးဖြစ်သည်။
မှီခိုမှုဂရပ်များနှင့် စနစ်ဗိသုကာ
direct နှင့် transitive dependencies နှစ်မျိုးလုံးကို ရှင်းလင်းစွာ မြေပုံဆွဲပါ။
ဝန်ဆောင်မှုများနှင့် အစိတ်အပိုင်းများသည် သင်၏ဗိသုကာအတွင်း မည်သို့အပြန်အလှန် သက်ရောက်မှုရှိသည်ကို နားလည်ပါ—အဖွဲ့များအနေဖြင့် ရှုပ်ထွေးမှုများကို လျှော့ချရန်၊ အန္တရာယ်ကို စီမံခန့်ခွဲရန်နှင့် စွမ်းဆောင်ရည်ကို မြှင့်တင်ရန် ကူညီပေးခြင်း။
AppSec၊ DevOps နှင့် system architect များအတွက် ပြီးပြည့်စုံပါသည်။
လိုက်နာမှုနှင့် အထောက်အထား အလိုအလျောက်လုပ်ဆောင်ခြင်း
ကဲ့သို့သော မူဘောင်များနှင့် ကိုက်ညီမှုကို ပံ့ပိုးပါ ဒိုရာ, SSDFနှင့် NIS2 CycloneDX Attestations (CDXA) ကို အသုံးပြု.
စက်ဖြင့်ဖတ်နိုင်သော အစီရင်ခံစာများကို တင်ပို့ပါ၊ စာရင်းစစ်ပြီးနောက်မဟုတ်ဘဲ စာရင်းစစ်ခြင်းမပြုမီ အထောက်အထားများကို စီစဉ်ပါ။
အတွက် အဓိကအောင်ပွဲတစ်ခု CISOs၊ လိုက်နာမှုမန်နေဂျာများနှင့် စည်းမျဉ်းသတ်မှတ်ထားသောအဖွဲ့များ။
အဆုံးစွန်အားဖြင့် CycloneDX သည် format တစ်ခုမျှသာ မဟုတ်ပါ - ၎င်းသည် workflow accelerator တစ်ခု ဖြစ်သည်။ Xygeni ဖြင့် သင်သည် generate လုပ်ရုံသာမက SBOMs—မင်းက သူတို့ကို မင်းရဲ့အတွင်းမှာပဲ အလုပ်လုပ်ခိုင်းလိုက်တယ် pipeline.
CycloneDX တစ်ခု ဖန်တီးနည်း SBOM စက္ကန့်ပိုင်းအတွင်း
Xygeni ဖြင့် CycloneDX ကို ထုတ်လုပ်ခြင်း SBOM မြန်ဆန်၊ ပွတ်တိုက်မှုမရှိ၊ အပြည့်အဝ အလိုအလျောက်လုပ်ဆောင်သည်။ ရိုးရှင်းသော CLI command ဖြင့် စတင်နိုင်သည် သို့မဟုတ် သင်နှစ်သက်ပါက ဖော်ရွေသော WebUI ကို အသုံးပြုနိုင်သည်။ မည်သို့ပင်ဖြစ်စေ၊ ၎င်းသည် သင့် CI/CD pipeline နှင့် အချိန်နှင့်တပြေးညီ၊ ထုတ်လုပ်မှုအဆင့်ကို ပေးပို့သည် SBOMs—အပိုကြိုးစားအားထုတ်မှု မလိုအပ်ပါ။
ထို့အပြင်၊ Xygeni သည် အာဟာရဓာတ်များကို ကြွယ်ဝစေသည် SBOM လုံခြုံရေးဆိုင်ရာ နက်နဲသော ထိုးထွင်းသိမြင်မှုများပါရှိသော output သည် အစိတ်အပိုင်းများ၏ static list ထက်ပိုပါသည်။
အဓိကစွမ်းဆောင်ရည်များ:
- အလိုအလျောက်ထုတ်ပေးသည်။ SBOMတည်ဆောက်နေစဉ်အတွင်း s
- CycloneDX နှင့် SPDX ဖော်မတ်များကို ပံ့ပိုးပေးသည်
- ရောက်ရှိနိုင်မှု၊ EPSS ရမှတ်များနှင့် အသုံးချနိုင်မှုဆိုင်ရာ ထိုးထွင်းသိမြင်မှုများကို ထည့်သွင်းထားသည်
- VDR (အားနည်းချက်ထုတ်ဖော်မှုအစီရင်ခံစာများ) နှင့် VEX များကို နောက်ခံအခြေအနေခွဲခြားသတ်မှတ်ရန်အတွက် ထည့်သွင်းထားသည်။
- သော့မဲ့ လက်မှတ်ထိုးခြင်းနှင့် artifact integrity စစ်ဆေးမှုများကို ပံ့ပိုးပေးသည်
နောက်ဆုံးအတွေးများ- CycloneDX ပြုလုပ်ခြင်း SBOMသင့်အတွက် အလုပ်လုပ်ပါ
ဆော့ဖ်ဝဲကို သုညကနေ တည်ဆောက်ထားတာမဟုတ်ဘဲ စုစည်းထားတဲ့ ကမ္ဘာမှာ မြင်နိုင်စွမ်းက မဖြစ်မနေလိုအပ်တာ မဟုတ်ပါဘူး - ဒါဟာ အခြေခံအုတ်မြစ်ပါ။ အဲဒါကြောင့်ပါ standardOWASP လိုပဲ SBOMနှင့် အထူးသဖြင့် CycloneDX သတ်မှတ်ချက်သည် အင်ဂျင်နီယာ၊ လုံခြုံရေးနှင့် လိုက်နာမှုအဖွဲ့များတွင် မရှိမဖြစ်လိုအပ်လာပါသည်။
အားနည်းချက်စီမံခန့်ခွဲမှုကို တိုးတက်အောင်လုပ်ချင်တာပဲဖြစ်ဖြစ်၊ DORA ဒါမှမဟုတ် NIS2 နဲ့ လိုက်လျောညီထွေဖြစ်အောင်လုပ်ချင်ပဲဖြစ်ဖြစ်၊ ဒါမှမဟုတ် သင်ပို့လိုက်တဲ့ပစ္စည်းအပေါ် ယုံကြည်မှုရချင်တာပဲဖြစ်ဖြစ်၊ CycloneDX က… SBOM သင့်အဖွဲ့များလိုအပ်သော ပွင့်လင်းမြင်သာမှုနှင့် ဖွဲ့စည်းပုံကို ပေးဆောင်သည်။
ပြီးတော့ Xygeni နဲ့အတူ၊ အရာအားလုံးက SBOM အသုံးချနိုင်စွမ်း အမှတ်ပေးခြင်းနှင့် အချိန်နှင့်တပြေးညီ ပြုပြင်ခြင်းအထိ အလိုအလျောက်လုပ်ဆောင်ခြင်းဖြစ်ပြီး သင့်ဆော့ဖ်ဝဲလ် ပစ္စည်းစာရင်းကို static ဖိုင်တစ်ခုအဖြစ်သာမကဘဲ အသက်ရှင်နေသော ပိုင်ဆိုင်မှုတစ်ခုအဖြစ်သို့ ပြောင်းလဲပေးပါသည်။
👉 လက်တွေ့မြင်တွေ့ဖို့ အဆင်သင့်ဖြစ်ပြီလား။ ယနေ့ပဲ သင့်ရဲ့ Xygeni သရုပ်ပြမှုကို ကြိုတင်မှာယူလိုက်ပါ။
TL;DR – Malicious Code သည် မည်သို့ပျက်စီးစေနိုင်သနည်း။
- CycloneDX = OWASP SBOM standard (ECMA-424) လုံခြုံရေး၊ လိုင်စင်နှင့် အစိတ်အပိုင်းဒေတာများကို ဖွဲ့စည်းရန် အသုံးပြုသည်
- CycloneDX SBOM = CycloneDX သတ်မှတ်ချက်ကို လိုက်နာသော ဖိုင် သို့မဟုတ် ရှေးဟောင်းပစ္စည်းတစ်ခု—သင်၏ ဆော့ဖ်ဝဲလ်ပစ္စည်းစာရင်းအစစ်အမှန်
- OWASP SBOM = ခေတ်မီ DevSecOps အတွက် CycloneDX ကို အခြေခံ၍ တည်ဆောက်ထားသော ကိရိယာများ၊ ဖော်မတ်များနှင့် လမ်းညွှန်ချက်များ၏ ယုံကြည်စိတ်ချရသော ဂေဟစနစ်တစ်ခု
- ဆိုက်ဂျီနီ = CycloneDX ကို ဖန်တီးရန်၊ ကြွယ်ဝစေရန်နှင့် လုပ်ဆောင်ရန် အမြန်ဆုံးနည်းလမ်း SBOMs—အလိုအလျောက်၊ အခြေအနေနှင့် ကိုက်ညီသော နှင့် CI/CD- အဆင်သင့်
