O polokalama faakomepiuta i aso nei ua tuufaatasia mai le tele o vaega tatala ma vaega lona tolu. A o faateleina le manaomia o le faatuatuaga, vaaia, ma le pulea i totonu o le sapalai oloa, o le OWASP SBOM standard Ua tulaʻi mai le CycloneDX o se tasi o meafaigaluega sili ona taua i le AppSec faʻaonaponei ma DevSecOps. A faʻatinoina, o le CycloneDX SBOM e tuʻuina atu le manino atoatoa—mai polokalama faakomepiuta ma auaunaga e oʻo atu i faʻataʻitaʻiga o masini aʻoaʻo ma vaega o masini komepiuta.
E lē na'o se isi fa'amatalaga fa'apitoa lenei—o se lisi atoa o meafaitino e avatu ai ia te oe se malamalamaga e le mafaatusalia i mea o lo'o i totonu o lau polokalama faakomepiuta. Na atia'e e le OWASP Foundation, ua avea nei le CycloneDX ma ECMA-424 aloaia standard, lagolagoina e se fa'alapotopotoga olaola i le lalolagi atoa ma fausia mo le fa'aitiitia o tulaga lamatia i se tulaga tele.
O le ā le CycloneDX?
I lona fatu, o le CycloneDX o se Polokalama Mama ma Fa'aonaponei (SBOM) faatulagaga ua fausia mo le saogalemu, otometi, ma le lalolagi moni o galuega faatino a le DevSecOps. O le faavae foi lea o le OWASP SBOM standard—ua aloaia i le lalolagi atoa ma ua aloaia nei o ECMA-424.
E fesoasoani le CycloneDX i 'au e fa'amaumau vaega uma o a latou polokalama faakomepiuta—mai afifi ma auaunaga tatala i fa'ata'ita'iga ML, aseta fa'alilolilo, ma e o'o lava i masini komepiuta. I se isi faaupuga, e tu'uina atu ia te oe se lisi atoa o mea uma o lo'o e lafoina.
E le gata i lea, e tulaga ese le CycloneDX i le ofoina atu o:
- Fa'aautomatika maualuga ma le sologa lelei CI/CD sosoʻoga
- Fa'atulagaga eseese: JSON, XML, ma Protocol Buffers
- Lagolago mo SBOM, SaaSBOM, ML-BOM, CBOM, ma isi mea
- Fa'aopoopoga ua fausia i totonu e pei o le VEX, CDXA, ma fa'amaoniga
O le iʻuga, e sili atu nai lo le siakiina masani o le faʻalagolago. E mafai e le CycloneDX ona faʻatautaia lelei tulaga lamatia, tali atu i vaivaiga, ma le tausisia o tulafono faatonutonu—o nei mea uma i se faatulagaga e manaʻo moni lava le au atiaʻe e galulue faʻatasi.
Fa'ata'ita'iga o le Afa ... SBOM (Vaega o le JSON):
Aiseā e Afa ai le CycloneDX SBOM Mataupu mo 'Au a le DevSecOps
Afai o loʻo e lafoina se code, o loʻo e lamatia foʻi le lafoina. O le CycloneDX e faʻaalia ai lena lamatiaga.
Fa'atasi ai ma le Afa o le Afa DX SBOMs, e mafai ona e:
- Fa'ailoa mai mea ua tuai pe vaivai ona fa'alagolago i ai
- Ia malamalama i matafaioi o laisene
- Ia vave iloa tulaga lamatia e ono tula'i mai
- Fa'afetaui ma fa'avae e pei o le SSDF, Dora, ma NIS2
- Lagolago le fa'amaoniga o le fa'amaoni o le taimi fa'agaoioia ma le tausisia o tulafono
I se faapuupuuga: e te maua le "fa'ailoga mea'ai" mo lau polokalama faakomepiuta—e otometi lava ma sa'o.
Fa'aaogaina o le CycloneDX SBOM I le Taamilosaga o le Soifuaga o Polokalama Faakomepiuta
O se Afa DX SBOM e lē na'o se mea e te faia—ae o se mea e te fa'aaogaina. O le mea moni, pe o e su'esu'eina ni vaivaiga pe fa'afaigofieina le tausisia o tulafono, o le auala lea e aumaia ai e le CycloneDX le taua moni i le olaga atoa o polokalama faakomepiuta:
Pulega o Vaivaiga e Aoga mo Atina'e
Mo se amataga, ia vave iloa tulaga lamatia e ala i le faʻaaogaina standard fa'ailoga (CPE, PURL, SWID) e feso'ota'i ma SCA pe ni sikani tuto'atasi.
Ona, fa'avasega lea ma le atamai ma le VEX (Vulnerability Exploitability eXchange) e fa'aali ai po'o fea CVE e fa'aoga moni i lou si'osi'omaga.
Fa'aleleia vave le fa'aaogaina o le precise, faʻamaumauga e mafai ona toe gaosia—e fesoasoani le CycloneDX i lau 'au e taulaʻi saʻo i le vaega saʻo ma le itiiti ifo o le alu i luma ma luma.
I le iuga, fa'ailoa atu vaivaiga ma le fa'aeteete fa'atasi ai ma le lagolago ua fausia i totonu mo VDRs (Vulnerability Disclosure Reports) e ogatasi ma le ISO standards.
Lelei mo 'au saogalemu, fa'atau oloa, ma siosiomaga e maualuga le fa'amautinoaga.
Fa'atuatuaga, Fa'amaoni ma le Moni o le Sapalai o le Sapalai
Fa'amaonia le fa'amaoni o vaega e fa'aaoga ai fa'amaumauga fa'alilolilo, ma ia mautinoa e le'i fa'aleagaina vaega.
Ina ia faaopoopo se isi vaega o le faatuatuaga, saini SBOMs fa'aaogaina le JSF po'o le XMLsig e fa'amaonia ai le amataga ma le moni.
E le gata i lea, siaki le amataga ma le gafa e iloa ai suiga e le'i fa'atagaina pe fa'atagaina—o le taua tele lea mo le fa'atumauina o le fa'atuatuaga i totonu o 'au tufatufaina ma fa'avae o tulafono a isi vaega.
Lelei tele mo le fa'amautuina o le fausiaina pipelines, faʻamaonia le faʻatuatuaga, poʻo le ogatasi ma le saogalemu SDLC standards.
Fa'amaumau Mea Uma—Polokalama Faakomepiuta, Auaunaga, Fa'ata'ita'iga AI, Meafaigaluega Fa'apitoa
Pu'e se lisi atoa o au fa'aputuga—mai faletusi o tulafono laiti ma API i fa'ata'ita'iga ML ma masini fa'apipi'i.
E le gata i lea, ia tausisia pea le va'aia o aseta fa'alilolilo e pei o ki ma tusi fa'amaonia, ia mautinoa e leai se mea e sasi mai le fa'alilolilo.
Fausia mo 'au e pulea fa'aputuga faigata, faiga tuai, po'o siosiomaga fa'atonutonuina.
Pulega o Laisene ma le Pulega o Mea Taua Faaletino
Fa'aotometi siaki laisene tatala-punaoa e fa'aaoga ai le metadata SPDX sa'o i totonu o lau CycloneDX OWASP SBOM.
Siaki laisene faapisinisi ma aia tatau i le faʻaaogaina o faʻamatalaga ina ia tausisia tulafono i taimi o suʻesuʻega ma taʻamilosaga o faʻatauga.
Lelei mo ta'ita'i inisinia, 'au loia, ma so'o se tasi e puleaina faiga fa'avae a le OSS.
Fa'asologa o le Fa'alagolago ma le Fa'atulagaga o le Faiga
Fa'afanua ma le manino fa'alagolago tuusa'o ma fa'alagolago fesuia'i.
Ia malamalama i le auala e fegalegaleai ai auaunaga ma vaega i totonu o lau fausaga—fesoasoani i 'au e fa'aitiitia le faigata, pulea tulaga lamatia, ma fa'aleleia atili le fa'atinoga.
E fetaui lelei mo AppSec, DevOps, ma le au tusiata o polokalama.
Fa'aogaina o le Tausisia ma le Fa'amaoniga
Lagolago le tausisia o faʻavae e pei o Dora, SSDF, ma NIS2 fa'aaogaina o Fa'amaoniga a le CycloneDX (CDXA).
Auina atu i fafo lipoti e mafai ona faitauina e masini, ma faatulaga faamaoniga a'o le'i faia su'esu'ega—ae le o le mae'a ai.
O se manumalo tele mo CISOs, pule o tulafono faatonutonu, ma 'au fa'atonutonu.
Auā fo‘i, e lē na o se faatulagaga le CycloneDX—o se fa‘atelevaveina o le galuega. Ma fa‘atasi ai ma le Xygeni, e lē na o le fa‘atupuina o SBOMs—e te fa'atinoina i latou, i totonu lava o oe pipeline.
Auala e Fausia ai se CycloneDX SBOM i Sekona
Faatasi ai ma Xygeni, o le gaosia o se CycloneDX SBOM e vave, e leai se fete'ena'iga, ma e otometi atoatoa. E mafai ona e amata i se fa'atonuga faigofie a le CLI pe, afai e te mana'o ai, fa'aaoga se WebUI faigofie. Po'o le a lava le auala, e tu'ufa'atasia sa'o lava i lau CI/CD pipeline ma tuʻuina atu i le taimi moni, tulaga gaosiga SBOMs—e aunoa ma se taumafaiga faaopoopo e manaomia.
E le gata i lea, e fa'amauoa e Xygeni le SBOM fa'atinoga ma ni malamalamaga loloto i le saogalemu, ma avea ai ma sili atu nai lo na o se lisi tumau o vaega.
Malosiaga Autu:
- Fa'atupu-aunoa SBOMs i le taimi o le fausiaina
- Lagolagoina faatulagaga o le CycloneDX ma le SPDX
- Fa'aopoopo le mafai ona o'o atu i ai, togi EPSS, ma malamalamaga i le fa'aaogaina
- Fa'aofiina VDRs (Vulnerability Disclosure Reports) ma VEX mo le fa'avasegaina o mea e tutupu i totonu o le tusitusiga
- Lagolagoina le saini e aunoa ma le ki ma le siakiina o le sa'o o meafaitino
Mafaufauga Fa'ai'u: Faia o le CycloneDX SBOMGaluega mo Oe
I se lalolagi e fa'apotopotoina ai polokalama faakomepiuta, ae le'i fausia mai le amataga, o le va'aia e le o se mea e filifili—ae o se mea fa'avae. O le mafua'aga lea standarde pei o le OWASP SBOM, aemaise lava le faʻamatalaga o le CycloneDX, ua amata ona taua tele i vaega faʻainisinia, saogalemu, ma le tausisia o tulafono.
Pe o e sailia se auala e faaleleia atili ai le puleaina o vaivaiga, ia ogatasi ma le DORA po o le NIS2, pe na o le mauaina o le mautinoa i mea e te lafoina, o le CycloneDX SBOM e tuʻuina atu le manino ma le faʻatulagaga e manaʻomia e lau 'au.
Ma faatasi ai ma Xygeni, mea uma mai SBOM O le gaosiga i le fa'aaogaina lelei o mea e mafai ona fa'aaogaina ma le toe fa'aleleia i le taimi moni e otometi lava—liliu ai lau lisi o meafaitino o le polokalama faakomepiuta i se aseta ola, ae le na'o se faila e le minoi.
👉 Ua sauni e vaʻai i lona faʻatinoina? Tusi lau faʻataʻitaʻiga Xygeni i le asō.
TL;DR – E fa'apefea ona fa'aleagaina e se Tulafono Fa'aleaga?
- CycloneDX = O le OWASP SBOM standard (ECMA-424) fa'aaogaina e fa'atulaga ai le saogalemu, laisene, ma fa'amaumauga o vaega
- CycloneDX SBOM = O se faila po'o se mea faitino e mulimuli i le fa'amatalaga a le CycloneDX—o lau lisi moni o meafaitino o le polokalama
- OWASP SBOM = O se faiga fa'avae fa'atuatuaina o meafaigaluega, fa'atulagaga, ma ta'iala na fausia fa'atasi ma le CycloneDX mo DevSecOps fa'aonaponei
- Xygeni = O le auala sili ona vave e fa'atupuina ai, fa'amauoa ai, ma fa'atino ai se gaioiga i le CycloneDX SBOMs—otometi, fa'atatau i le tulaga, ma CI/CD-o lea
