Ua suia le manino o polokalama faakomepiuta mai faiga sili ona lelei i manaoga faaletulafono. I le Iunaite Setete, o le Poloaiga Faatino 14028 ua poloaina ai SBOMs mo le au tuʻuina atu o polokalama faakomepiuta a le malo tele. I Europa, o le EU Cyber Resilience Act ma faʻavae faʻapitoa a le vaega e aofia ai le UNECE WP.29 mo polokalama faakomepiuta a taʻavale o loʻo faia SBOM tausisia o se standard i pisinisi fa'atonutonuina. I le taimi lava e tasi, o lo'o fa'aauau pea ona fa'atupula'ia osofa'iga i le sapalai oloa: o le lipoti a le Sonatype State of the Software Supply Chain na fa'amaumauina ai le si'itia o afifi leaga e 1,300 pasene na lolomiina i resitala a le lautele i tausaga talu ai nei, ma o le iloa tonu o mea o lo'o i totonu o vaega ta'itasi e te lafoina ua avea ma mea e mana'omia muamua mo le saogalemu ma le tausisia o tulafono. O lenei ta'iala e iloiloina ai le 6 pito i luga SBOM meafaigaluega mo le 2026, e aofia ai le gafatia o le gaosiga, lagolago o le faatulagaga, faʻaleleia atili o vaivaiga, ma le auala e fetaui ai mea taʻitasi ma le faiga o galuega faʻaonaponei a le DevSecOps.
Top 6 SBOM Meafaigaluega i le 2026
| mea faigāluega | SBOM Tupulaga | Faatulaga Support | Fa'aleleia atili o Vaivaiga | Lagolago VEX/VDR | Lelei Sili |
|---|---|---|---|---|---|
| Xygeni | Moni, tasi le kiliki | SPDX ma le Afa o le Afa DX | CVEs taimi moni, EPSS, mafai ona o'o atu i ai | Ua aofia ai le auina atu i fafo o le VDR | 'Au e mana'omia SBOMe fesoʻotaʻi atu i faʻamaumauga o lamatiaga ola ma le toe faʻaleleia otometi |
| Fa'alelei | Fa'aotometi e ala i SCA workflow | SPDX ma le Afa o le Afa DX | Fa'avae i le CVE | Limited | Enterprise pulega tatala punaoa ma le taula'i i le tausisia o laisene |
| Endor Labs | Leai se tupulaga moni, e foloina mai fafo | SPDX ma le Afa o le Afa DX | Fa'aleleia atili o le VEX, fa'asologa faifai pea | Ua aofia ai le VEX | 'Au e pulea mea tetele SBOM oloa mai le tele o punaoa |
| Snyk | Fa'atupuina fa'avae i le CLI | SPDX ma le Afa o le Afa DX | Fa'avae i le CVE ma le faigofie ona fa'aaogaina | Limited | O 'au e fa'amuamua le au atina'e ua i ai nei i le faiga fa'avae o Snyk |
| Puipuiga o le Tusitala | Leai se tupulaga moni, na'o le auiliiliga | Fa'a'ai le SPDX ma le CycloneDX | Siakiina faifai pea o le CVE | Su'esu'eina o le tausisia | 'Au e taula'i i ai SBOM auiliiliga, mataituina, ma lipoti o le tausisia o tulafono |
| Taula | Moni, taula'i i le koneteina | SPDX ma le Afa o le Afa DX | CVE ma faiga fa'avae | Limited | 'Au o lo'o fausia ni talosaga fa'aputu koneteina e mana'omia ai SBOM faamalosia |
1. Xygeni: SBOM Meafaigaluega o Tupulaga
Vaaiga Aoao: Xygeni togafiti SBOM gaosiga e lē o se auina atu tuto’atasi ae o se tasi o taunuuga o se polokalame atoatoa o le va’aia o le sapalai o polokalama faakomepiuta. O lona SCA gafatia e fa'atupuina SBOMs i fa'atulagaga uma e lua o le SPDX ma le CycloneDX i se poloaiga e tasi, ma ta'itasi SBOM e maua mai ai ua fa'amauoaina i le atamai o vaivaiga i le taimi moni e aofia ai CVEs, togi EPSS, ma fa'ailoga o le mafai ona o'o atu i ai. O lona uiga o le SBOM e lē na'o se lisi o vaega: o se pepa o tulaga lamatia ola e ta'u atu ai i 'au po'o fea vaega e mafai ona fa'aaogaina moni i totonu o latou fa'aoga fa'apitoa.
I autafa SBOM tupulaga, e auina atu e Xygeni Lipoti o Faʻamatalaga o Vulnerability Disclosure (VDRs) pe a manaʻomia e faʻafetaui ai manaʻoga o faʻatauga ma le tausisia o tulafono. SCA e sili atu nai lo le fetaui lelei o le CVE, e aofia ai isi mea lamatia e pei o le soifua maloloina o le tausiga, lamatiaga o laisene, ma le iloa o afifi leaga e puipuia ai le tuufaatasia o afifi e ono leai se CVE ae matautia pea. Mo nisi faamatalaga i luga o auala SCA ma SBOM galulue faatasi ma le lamatiaga o polokalama tatala punaoa, o na feso'ota'iga e maua ai se tala'aga talafeagai.
Vaega Faataua:
- Tasi-kiliki SBOM gaosiga i fa'atulagaga SPDX ma CycloneDX, fa'atasi ai ma le fetaui lelei i totonu o si'osi'omaga ma meafaigaluega
- SBOMua fa'amauoaina i le atamai o vaivaiga i le taimi moni e aofia ai CVEs, togi EPSS, ma auiliiliga o le mafai ona oʻo atu, o loʻo faʻaalia ai po o fea vaega e mafai ona faʻaaogaina i le taimi e faʻagaoioia ai
- VDR (Vulnerability Disclosure Report) auina atu fa'atasi ma mea uma SBOM mo le su'esu'eina vave ma le sauniuni mo fa'atauga
- Fa'asologa o le fa'amuamua e fa'atatau i tulaga lamatia o punaoa tatala e ala i le a'afiaga o pisinisi, faigofie ona o'o atu i ai, fa'aalia i luga o le initaneti, ma le faigofie ona fa'aaogaina, fa'aitiitia ai le pisa o lapataiga e o'o atu i le 90 pasene
- Su'esu'ega moni o afifi leaga i le taimi atoa i luga o le npm, PyPI, Maven, ma isi resitala, poloka vaega matautia a'o le'i ulufale i totonu SDLC
- Toe fa'aleleia otometi e ala i le AI AutoFix pull requests, faatasi ai ma Iloiloga o Tulaga Lamatia o le Toe Faaleleia o loʻo faʻaalia le lamatiaga o le suia o le tulaga aʻo leʻi faʻaaogaina se faʻaleleia atili
- CI/CD fesoʻotaʻiga faʻa-natura ma GitHub Actions, GitLab CI, Jenkins, Bitbucket Pipelines, ma Azure DevOps
- Lagolago i le tausisia o tulafono mo le Poloaiga Fa'atonu a le US 14028, ISO/IEC 5962, EU Cyber Resilience Act, NIS2, ma mana'oga a le DORA
- Vaega o se fausaga tu'ufa'atasi e ufiufi ai SAST, SCA, TAUSAGA, IaC Security, Sailiga o Mea Lilo, CI/CD Saogalemu, ma ASPM
Sili mo: 'Au a le DevSecOps e mana'omia SBOMe fesoʻotaʻi ma faʻamaumauga o tulaga lamatia ola, toe faʻaleleia saogalemu otometi, ma faʻatau atu i fafo ua sauni e tausisia tulafono e aunoa ma le faʻaopoopoina o se tutoʻatasi SBOM meafaigaluega i la latou faaputuga o loʻo iai.
Totogi: E amata ile $33/ masina mo le fausaga atoa uma-i-le-tasi. E aofia ai SCA i SBOM tupulaga, SAST, CI/CD Puipuiga, Sailiga o Mea Lilo, IaC Security, ma le Su'esu'eina o Koneteina. Teugatupe teuoloa ma tagata saofaga e le fa'atapula'aina e aunoa ma se tau i le nofoa ta'itasi.
2. Toe faalelei SBOM mea faigāluega
Vaaiga Aoao: Mend.io ofoina SBOM gaosiga o se vaega o lana auʻiliʻiliga o le tuufaatasiga o polokalama faakomepiuta ma le faʻavae o le pulega tatala punaoa. O lana SBOM o foliga o loʻo fesoʻotaʻi lelei ma lona tausisia o laisene lautele ma le faiga o le suʻesuʻeina o vaivaiga, ma avea ai ma filifiliga aoga mo enterprise 'au e mana'omia SBOM galuega faatino o se tasi vaega o se polokalame tele e tatala ai punaoa mo le puleaina o tulaga lamatia.
Mend's SBOM ua otometi le gaosiga o se vaega o lana suʻesuʻega faʻalagolago pipeline, e gaosia ai ni galuega faatino i faatulagaga SPDX ma CycloneDX. O lona malosi o loʻo i le faʻamalosia o tulafono faʻavae o laisene ma le lipotia o le tausisia o tulafono nai lo le faʻaleleia atili o le saogalemu: SBOMe fesoʻotaʻi atu i faʻamaumauga CVE tulaga-afifi ae leai ni foliga faʻapitoa e pei o le auʻiliʻiliga o le faʻaaogaina, togi o le mafai ona oʻo atu i ai, poʻo le gaosiga o le VDR. Mo se faʻamatalaga lautele i luga o SCA meafaigaluega ma a latou SBOM mafai gafatia, o lena so'otaga e ufiufi ai le laufanua.
Vaega Faataua:
- otometi SBOM gaosiga o se vaega o le suʻesuʻeina o vaivaiga ma le auʻiliʻiliga o le faʻalagolago
- Lagolagoina o le SPDX ma le CycloneDX mo le fetaui lelei i siosiomaga eseese
- Pulega o le tausisia o laisene faatasi ai ma le faamalosia o tulafono faavae mo le pulega o le faaaogaina o punaoa tatala
- Faʻatasi ma CI/CD fausaga ma fale teuoloa mo SBOM foafoaga i le taimi o fausiaina
- Mata'ituina pea ma lapata'iga mo vaivaiga fou ua fa'aalia e a'afia ai vaega ua mata'ituina
leaga:
- SBOMe feso'ota'i atu i fa'amaumauga o le tulaga o afifi e aunoa ma le su'esu'ega o le fa'aaogaina, togi o le mafai ona o'o atu i ai, po'o le faia o le VDR
- Fa'apitoa pe auina atu i fafo ua fa'amauoa SBOMe ono manaʻomia e le aufaigaluega le fesoasoani faʻatino lima mo le suʻesuʻeina poʻo le toe faʻaleleia o galuega
- E manaʻomia e le faʻavae atoa ni vaega totogi faaopoopo mo le DAST, foliga o le AI, ma le lagolago faʻapitoa
- E matuā fua fa'atatau tau i le telē o le 'au ma le fa'aaogaina o foliga vaaia
Sili mo: Enterprise 'au e mana'omia SBOM o le gaosiga o se vaega o se polokalame lautele o le pulega tatala punaoa e taulaʻi i le tausisia o laisene ma le siakiina o CVE.
Totogi: Amata ile $1,000/tausaga mo le tagata atiaʻe e totogi mo le faʻavae autu e aofia ai SCA, SAST, ma le su'esu'eina o koneteina. E iai totogi fa'aopoopo mo le Mend AI Premium, DAST, Saogalemu API, ma auaunaga lagolago.
3. EndorLabs: SBOM mea faigāluega
Vaaiga Aoao: Endor Labs o se SBOM fa'avae tau pulega e taula'i i le fa'aaogaina, fa'atotonugalemu, ma le fa'amauoa SBOMs mai punaoa eseese nai lo le gaosia i latou lava. E tuʻufaʻatasia ai le vaega muamua ma le vaega lona tolu SBOMs i totonu o se nofoaga tutotonu tuʻufaʻatasi, faʻamauoa i latou i faʻamatalaga VEX (Vulnerability Exploitability Exchange), ma faʻafouina pea faʻamatalaga o tulaga lamatia pe a tulaʻi mai ni vaivaiga fou. Mo 'au e pulea SBOMI totonu o siosiomaga tetele ma tele galuega faatino faatasi ai ma le tele o meafaigaluega e gaosia ai, e maua ai e Endor Labs se vaega pulea tutotonu e faaitiitia ai le tau o le siakiina. SBOM fa'amaumauga ma le lima.
O le tapula'a autū o le le gaosia lea e le Endor Labs SBOMe na'o ia. E mana'omia e 'au se meafaigaluega gaosi eseese i totonu oa latou lava pipeline, ma avea ai ma fa'aopoopoga nai lo le suitulaga mo meafaigaluega e pei o Xygeni, Snyk, po'o Anchore. Mo se fa'amatalaga i luga pe fa'apefea VEX ma SBOM fesootai le tasi i le isi, o lenā so'otaga e maua ai se tala'aga aogā.
Vaega Faataua:
- Tuufaatasia SBOM nofoaga tutotonu e tuufaatasia uma SBOMmai le tele o punaoa ma galuega faatino i le nofoaga e tasi
- otometi SBOM foloina o le pu'eina o le SBOM i taimi uma e lafoina ai le code mo faʻafouga faifai pea o oloa
- Tasi-kiliki SBOM ma le auina atu i fafo o le VEX e tuʻuina atu ai ni faʻamatalaga ma ni galuega faʻamauoa mo iloiloga o aʻafiaga o vaivaiga
- Fa'aauau pea ona fetu'una'i fa'atulagaina o tulaga lamatia SBOM faʻamatalaga o tulaga lamatia pe a maua mai faʻamatalaga fou o vaivaiga
- CI/CD pipeline tu'ufa'atasiga mo le va'aia moni o le sapalai o sapalai i totonu o fale
leaga:
- Leai se tagatanuu SBOM gaosiga; manaʻomia meafaigaluega mai fafo e gaosia ai SBOMa'o le'i foloina
- E itiiti le loloto o le auiliiliga o fa'amaumauga o vaega po'o le atamai fa'amata'u fa'apipi'i pe a fa'atusatusa i le atoatoa SCA fausaga opea
- SBOM O le Hub o se fa'aopoopoga i le Core po'o le Pro platform, e fa'aopoopoina ai le tau e sili atu i le fuafuaga fa'avae.
- Leai ni tau fa'alaua'itele; mana'omia ni tau fa'apitoa, lea e ono fa'agesegese ai taimi fa'atulagaina o iloiloga
Sili mo: 'Au e pulea mea tetele SBOM oloa mai meafaigaluega fa'atupuina e tele e mana'omia ai se nofoaga tutotonu mo le fa'aleleia atili o le VEX, fa'agasolo pea o le fa'atulagaina o tulaga lamatia, ma galuega fa'atino eseese SBOM pulega.
Totogi: Fa'ata'ita'iga fa'aopoopo i luga o le Core po'o le Pro platform. Fa'atulagaina tau ma modules o lo'o fa'agaoioia (lagolago VEX, aofa'i o le fa'aaogaina) ma le aofa'i o tagata atia'e. Mana'omia ni tau fa'apitoa.
4. Snyk: SBOM mea faigāluega
Vaaiga Aoao: Snyk saunia SBOM gaosiga o se vaega o lana fa'avae saogalemu e fa'atotonugalemu i le tagata atia'e e ala i lana seti CLI. E lagolagoina e le Snyk CLI le gaosiga SBOMs i fa'atulagaga uma e lua o le SPDX ma le CycloneDX sa'o mai fa'aaliga fa'alagolago i le poloketi, ma e ofoina atu fo'i SBOM su'ega, e mafai ai e 'au ona tu'uina atu se SBOM faila ma maua le auiliiliga o vaivaiga e faasaga i ai. Mo 'au atina'e ua uma ona fa'aogaina le Snyk mo open source security, faʻaopoopo SBOM O le gaosiga e ala i le meafaigaluega lava e tasi e 'alofia ai le fa'alauiloaina o se meafaigaluega tu'ufa'atasi ese.
Snyk's SBOM e faigofie le gaosiga mo 'au i lona siosiomaga, ae e mama tele le foliga pe a fa'atusatusa i fausaga na fausia i luga SBOM o se gafatia autū. E fa'atapula'aina le fa'aleleia atili i fa'amaumauga o vaivaiga e fa'avae i luga o le CVE e aunoa ma le togiina o le mafai ona o'o atu i ai, auina atu i fafo o le VDR, po'o le fa'agasolo pea o le fa'atulagaina o lamatiaga. O lona fa'ata'ita'iga tau fa'apitoa o lona uiga o le atoatoa open source security e manaʻomia e le inisiua ni faʻatauga eseese mo fuafuaga SCA, koneteina, ma IaC foliga. Mo se fa'amatalaga lautele i luga o Snyk's SCA mafai gafatia, o lena so'otaga e fa'atusatusa i isi fa'avae.
Vaega Faataua:
- Fa'avae i le CLI SBOM gaosiga i faatulagaga SPDX ma CycloneDX mai fa'aaliga fa'alagolago i galuega faatino
- SBOM su'ega: tu'uina atu se su'ega o lo'o iai SBOM faila e maua ai le auiliiliga o vaivaiga e faasaga i le faʻamaumauga a Snyk
- Feso'ota'iga ma le lautele o Snyk SCA fausaga mo le su'esu'eina o le fa'alagolago i le tagata atia'e ma fautuaga mo le fa'aleleia
- Mata'ituina pea lava pea o vaivaiga fou ua fa'aalia i vaega ua mata'ituina
- IDE e taulaʻi i le atinaʻe ma le tuʻufaʻatasiga o le Git mo ni faʻamatalaga vave i tulaga lamatia o le faʻalagolago
leaga:
- SBOM fa'atamaoaigaina e fa'atapula'aina i fa'amaumauga fa'avae i le CVE; leai se togi e mafai ona o'o atu i ai, leai se fa'aogaina o le tulaga, po'o le auina atu i fafo o le VDR
- Leai se fa'aauau pea SBOM fa'avasegaina o tulaga lamatia a'o tula'i mai ni vaivaiga fou pe a uma le gaosiga
- O tau fa'apitoa e mana'omia ai fa'atauga eseese mo SCA, koneteina, IaC, ma foliga lilo
- SBOM o le gaosiga o se gafatia lona lua nai lo se taulaʻiga autu o le fausaga
Sili mo: Ua uma ona fa'aogaina e 'au atia'e le Snyk mo open source security o ai e manaʻomia ona faʻaopoopo mea faʻavae SBOM gaosiga ma faʻataʻitaʻiga e aunoa ma le faʻalauiloaina o se meafaigaluega faʻapitoa ese.
Totogi: SBOM gaosiga o loʻo avanoa i totonu o le Snyk CLI mo tagata lesitala o loʻo iai nei. Atoa SCA E manaʻomia e le inisiua se fuafuaga totogi. E faʻatau eseese oloa; e faʻatusatusa tau ma tagata e saofaga ma foliga. Enterprise e manaʻomia e fuafuaga ni tau faʻapitoa.
iloiloga:
5. Tusiupu: SBOM mea faigāluega
Vaaiga Aoao: Puipuiga o le Tusitala o se mea e taula'i i ai SBOM o se fausaga o suʻesuʻega ma le tausisia o tulafono e taulaʻi i le faʻaaogaina, mataituina, ma le lipotia SBOM faʻamaumauga nai lo le gaosia. E faʻavasegaina SBOM fa'amatalaga mai meafaigaluega mai fafo, siaki pea lava pea fa'amaumauga o vaega e fa'asaga i fafaga vaivai, ma tu'uina atu le siakiina o le tausisia o tulafono fa'atonutonu e aofia ai le US Executive Order 14028 ma mana'oga o le EU Cyber Resilience Act. Mo fa'alapotopotoga ua uma ona i ai SBOM o lo'o iai le gaosiga ma mana'omia se vaega fa'apitoa mo le pulega, sauniuniga mo su'esu'ega, ma le mata'ituina pea, e tu'uina atu e le Scribe Security le taua fa'apitoa.
Aua e le gaosia SBOMe masani lava, e tatau i 'au ona gaosia muamua SBOMo loʻo faʻaaogaina se meafaigaluega eseʻese aʻo leʻi faʻaulufaleina mai i totonu o le Scribe. O lenei faʻalagolago i meafaigaluega e lua e faʻaopoopoina ai le tele o galuega faʻatino e aloese mai ai faʻavae tuʻufaʻatasi e pei o le Xygeni. E le tuʻuina atu foʻi se toe faʻaleleia otometi, o lea e tatau ai ona faʻaleleia lima pe ala i meafaigaluega fesoʻotaʻi i ai vaivaiga ua iloa. Mo se faʻamatalaga i luga SBOM tausisia manaoga, o lena so'otaga e aofia ai le tulaga fa'atonutonu.
Vaega Faataua:
- auiliili SBOM su'esu'ega fa'ata'ita'i ua foloina SBOMs e aveese ai fa'amatalaga loloto o vaega ma tulaga lamatia e ono tula'i mai
- Siakiina faifai pea o le mata'ituina o vaivaiga SBOM anotusi e faasaga i le tele o fafaga vaivaiga
- Siakiina o le tausisia o tulafono e lagolagoina ai le Poloaiga Fa'atonu a le US 14028, le EU Cyber Resilience Act, ma isi fa'avae fa'atonutonu
- CI/CD pipeline taliaina o le tu'ufa'atasiga SBOM faila mai le fausiaina pipelines mo le va'aia i le taimi moni
- Lipoti ua saunia mo le su'esu'ega fa'atasi ai ma pepa auiliili o le tausisia o tulafono
leaga:
- Leai se tagatanuu SBOM gaosiga; manaʻomia se meafaigaluega ese e gaosia ai SBOMs a'o le'i faia le su'esu'ega
- Leai ni fa'aleleia otometi po'o ni fautuaga mo ni vaivaiga ua iloa
- O le sa'o o manatu e fa'alagolago atoatoa i le atoatoa ma le lelei o mea ua tu'uina mai SBOMs
- Enterprise tau i le va o le lima-numera i tausaga taʻitasi e aunoa ma se faʻataʻitaʻiga faʻalauaʻitele e avanoa
Sili mo: Fa'alapotopotoga fa'atonutonu ua uma ona gaosia SBOMe ala i isi meafaigaluega ma manaʻomia se pulega tuuto, lipoti o le tausisia o tulafono, ma se vaega o le mataʻituina faifai pea.
Totogi: māsani enterprise tau e amata i le va o le lima-numera i tausaga taʻitasi. E leai ni tau faʻalauaʻitele poʻo se faʻataʻitaʻiga e maua.
6. Taula: SBOM Meafaigaluega o Tupulaga
Vaaiga Aoao: Taula tu'uina atu le fa'amoemoega fa'apitoa SBOM meafaigaluega gaosi oloa ua mamanuina faapitoa mo talosaga i totonu o koneteina. E otometi lava ona gaosia SBOMs mo ata o koneteina, faʻamalosia tulafono faʻavae mo le saogalemu ma le tausisia o tulafono faʻasaga i SBOM anotusi, ma tu'ufa'atasia i totonu CI/CD pipelines e fai SBOM gaosiga ma le suʻesuʻeina o se standard vaega o galuega fa'atino o le fausiaina o koneteina. Mo 'au o lo'o avea koneteina ma mea autu e tu'uina atu ai polokalama faakomepiuta, e tu'uina atu e Anchore se fa'atinoga aoga, e mafai ona fa'amalosia SBOM fofo e sili atu nai lo le gaosiga i le faʻamalosia o le faʻatinoina o tulafono faʻavae.
E fa'atapula'a ma le loto i ai le va'aiga a Anchore: e taula'i i ata o koneteina ma e le fa'atupuina SBOMs mo mea taua e le o ni koneteina e pei o faletusi, afifi JVM, po'o se code fa'aoga tuto'atasi. O 'au e iai ituaiga mea taua eseese o le a mana'omia ona fa'aopoopoina Anchore i ni fa'aopoopoga SBOM meafaigaluega mo le ufiufi atoatoa. Mo le anotusi i luga puipuiga o koneteina ma SBOM gaosiga i totonu o siosiomaga koneteina, o lenā so'otaga e maua ai se tala'aga talafeagai.
Vaega Faataua:
- faʻaleatunuʻu SBOM gaosiga mo ata o koneteina i faatulagaga SPDX ma CycloneDX
- Fa'amaoniaina o le tausisia o tulafono ma siaki saogalemu otometi SBOM anotusi e faasaga i faʻamaumauga o vaivaiga ma faiga faʻavae faʻapitoa
- CI/CD pipeline feso'ota'iga ma Jenkins, GitLab CI, ma GitHub Actions mo fa'apipi'i SBOM gaosiga ma le su'esu'eina
- Fa'amalosia o tulafono fa'avae e mafai ona fa'aleagaina ai fausiaina pe poloka ai fa'atinoga pe a le manuia siaki tulafono fa'avae
- Lipoti auiliili o le tausisia o tulafono ma le siakiina o vaivaiga i totonu o faʻamaumauga o ata o koneteina
leaga:
- Fa'atapula'aina i ata o koneteina; e le fa'atupuina SBOMs mo faletusi, afifi JVM, po'o le code punaoa o talosaga
- Manaʻomia le faʻaopoopoga SBOM meafaigaluega mo le ufiufi atoatoa i ituaiga eseese o mea totino
- Fa'atulagaga faigata ma le fa'atulagaina o tulafono fa'avae fa'atasi ai ma se pi'oga a'oa'oga faigata mo 'au e fou i meafaigaluega saogalemu o koneteina
Sili mo: 'Au o lo'o fausia ni polokalama fa'aputu e mana'omia le fa'aautomatika SBOM gaosiga fa'atasi ai ma le fa'amalosia o tulafono fa'avae o se vaega o la latou fausiaina ma le fa'atinoina o koneteina pipeline.
Totogi: Tolu enterprise vaega: Core, Enhanced, ma Pro. O tau e faʻalagolago i le tele o le faʻaaogaina e aofia ai le aofaʻi o node ma SBOM tele. Agava'a fa'apitoa ma enterprise lagolago e maua e ala i fuafuaga fa'apitoa.
O le a le SBOM?
O se Lisi o Meafaitino Faakomepiuta (SBOM) o se lisi fa'atulagaina o vaega uma, faletusi, ma mea e fa'alagolago i ai i totonu o se polokalama faakomepiuta. E galue e pei o se fa'ailoga o mea e fai ai polokalama faakomepiuta, e fa'amaumauina ai mea o lo'o i totonu o mea totino uma e te lafoina, pe na fausia i totonu o le fale pe na tu'ufa'atasia mai punaoa a isi vaega.
A maeʻa SBOM e aofia ai igoa o vaega ma lomiga, faʻamatalaga o laisene ma puletaofia, faʻamatalaga a le sapalai, ma soʻotaga i faʻamatalaga vaivai ua iloa. SBOMua avea nei ma tulafono fa'atonutonu i le Iunaite Setete mo i latou e tu'uina atu polokalama faakomepiuta feterale i lalo o le Poloaiga Fa'atonu 14028, ma o lo'o agai atu Europa i le itu lava lea e tasi e ala i le Tulafono o le Puipuiga o le Initaneti a le EU ma fa'avae fa'apitoa mo vaega ta'itasi. I tua atu o le tausisia o tulafono, SBOMe tuʻuina atu e s le vaega faʻavae o le vaʻaia e mafai ai ona tali vave pe a aʻafia e se vaivaiga fou se vaega o loʻo tanumia i se faʻalagolago fesuiaʻi. Mo nisi faʻamatalaga i luga pe fa'apefea ona faia e le CycloneDX SBOMgaluega faatino, o lena so'otaga e aofia ai le standard loloto.
Ituaiga o SBOM Faatulagaga
Pe a iloiloina SBOM meafaigaluega, o fa'atulagaga e lua e taua o le CycloneDX ma le SPDX. E lauiloa uma ia mea e lua ma e eseese fa'aoga autu.
CycloneDX o se faatulagaga mama, faigofie mo tagata atia'e e tausia e le OWASP. E lagolagoina le JSON, XML, ma le Protocol Buffers serialization, ma avea ai ma mea e fetaui lelei mo CI/CD fa'aautomatika ma le saogalemu o galuega fa'atino. O le fa'atulagaga sili lea mo 'au e mana'omia ona fa'apipi'i SBOM gaosiga sa'o i totonu o le fausiaina vave pipelines e aunoa ma le fa'agesegese o le au atia'e.
SPDX (Software Package Data Exchange) e pulea e le Linux Foundation ma standardua fa'avasegaina o le ISO/IEC 5962:2021. E tu'uina atu ai fa'amatalaga auiliili e uiga i laisene, puletaofia, ma le amataga o vaega, ma avea ai ma fa'atulagaga e sili ona lelei mo le tausisia o tulafono, su'esu'ega laisene tatala, ma fa'alapotopotoga e iai le ISO fa'amaoni standardmanaʻoga.
O le sili lava SBOM E lagolagoina e meafaigaluega ia faatulagaga uma e lua, ma mafai ai e 'au ona gaosia le galuega talafeagai mo fa'aoga ta'itasi e aunoa ma le puleaina o galuega eseese.
Vaega Taua e Vaavaai i ai SBOM Meafaigaluega
Tupulaga moni vs. 'aina. E tele meafaigaluega i lenei lisi e le gaosia SBOMlatou lava ma nai lo lea e fa'aaogaina faila na gaosia e isi meafaigaluega. O lenei fa'alagolago i meafaigaluega e lua e fa'aopoopoina ai le tele o galuega fa'atino. 'Au e iloiloina SBOM E tatau i meafaigaluega ona manino le eseesega i le va o generators ma analyzers, ma mafaufau i le aoga o le faʻaopoopoina o se meafaigaluega faʻapitoa mo le gaosiga o se oloa i se faʻaputuga o loʻo iai.
Loloto o le fa'atamaoaigaina o vaivaiga. O se mea e le lavalavā SBOM o se lisi o vaega. O se mea aoga SBOM o se lisi o vaega e fesoʻotaʻi ma faʻamatalaga o vaivaiga o loʻo iai nei, faʻamatalaga e mafai ona faʻaaogaina, ma le auiliiliga o le mafai ona oʻo atu i ai. O le eseesega e fuafua ai pe o le SBOM o se mea na faia e le su'esu'ega po'o se pepa o lamatiaga e mafai ona fa'atinoina. Tagai Sikoa o le EPSS ma le auala latou te faʻaleleia atili ai le faʻamuamuaina o vaivaiga mo se fa'amatalaga i le foliga o le fa'atamaoaigaina i le fa'atinoina.
Lagolago mo VEX ma VDR. O faʻamatalaga a le VEX (Vulnerability Exploitability Exchange) e faʻamanino ai pe o se vaivaiga ua iloa i se vaega e mafai ona faʻaaogaina moni i se oloa faapitoa. O le VDR (Vulnerability Disclosure Report) o se faʻaiʻuga o le tausisia o tulafono e manaʻomia e nisi o faʻatauga ma faʻavae faʻatonutonu. E le o mea uma. SBOM e lagolagoina e meafaigaluega so'o se fa'atulagaga i le amataga.
CI/CD faʻatasi. SBOME na'o le aoga pe afai e atagia mai ai le tulaga o lo'o iai nei o mea o lo'o lafoina. Meafaigaluega e fa'atupuina ai SBOMe otometi lava o se vaega o fausaga taʻitasi ia mautinoa o loʻo saʻo pea le lisi o oloa. O meafaigaluega e manaʻomia ai le faʻagaoioia faʻatino e faia ai ni va i le va o mea o loʻo iai. SBOM fa'aaliga ma mea o lo'o faia moni lava.
Ufiufi o le tausisia o tulafono. Ia fa'amaonia pe o fa'amalieina e le fa'atulagaga o galuega faatino ma le loloto o fa'amatalaga fa'amaumauga ia mana'oga fa'atulafonoina patino o lo'o feagai ma lau fa'alapotopotoga: US Executive Order 14028, EU Cyber Resilience Act, ISO/IEC 5962, NIS2, DORA, po'o ni fa'avae fa'apitoa mo vaega ta'itasi.
Faʻafefea ona Filifili le Mea Tonu SBOM mea faigāluega
Afai e te manaʻomia SBOMe fesoʻotaʻi atu i faʻamaumauga o lamatiaga ola faʻatasi ai ma le faʻaleleia otometi: E fa'atupuina e Xygeni SBOMs i faatulagaga uma e lua o se vaega o lona tuufaatasiga SCA ma le fausaga o le AppSec, e fa'amauoa ai i latou i le atamai i le taimi moni o vaivaiga ma le auiliiliga o le mafai ona o'o atu i ai, ma e maua ai le auina atu i fafo o le VDR ma le toe faaleleia o le AI AutoFix i le faiga lava e tasi.
Afai e te manaʻomia enterprise pulega tatala punaoa faatasi ai ma le tausisia o laisene: E tu'uina atu e Mend le malosi SBOM gaosiga i totonu o se polokalame lautele o le pulega o tulaga lamatia tatala, faatasi ai ma le faamalosia malosi o tulafono faatonutonu laisene mo enterprise au.
Afai o loʻo e pulea SBOMe mai le tele o punaoa ma e manaʻomia le pulega tutotonu: E tu'uina atu e le Endor Labs le sili ona malosi SBOM nofoaga autu mo pulega mo 'au e fa'aaogaina SBOMs mai le tele o generators, fa'atasi ai ma le fa'aleleia atili o le VEX ma le fa'aauau pea o le fa'avasegaina o tulaga lamatia.
Afai ua uma ona e faʻaaogaina le Snyk ma e te manaʻomia ni faʻaoga faigofie SBOM galuega faatino: O le gaosiga faʻavae i luga o le CLI a Snyk e tuʻufaʻatasia faʻalenatura mo 'au i totonu o lana faiga faʻavae e aunoa ma le faʻaopoopoina o se meafaigaluega fou, e ui o le loloto o le faʻaleleia atili e sili atu ona faʻatapulaʻaina nai lo faʻavae tuuto.
Afai o le lipotiina o le tausisia o tulafono ma le mataʻituina faifai pea o le mea autū e manaʻomia: E tuʻuina atu e le Scribe Security se vaega tau pulega ma suʻesuʻega faʻapitoa mo faʻalapotopotoga ua uma ona gaosia SBOMe ala i isi meafaigaluega.
Afai o lau siosiomaga autū o loʻo teuina i totonu o koneteina: E tu'uina atu e le Anchore le koneteina e sili ona fa'aaogaina mo se fa'amoemoega fa'apitoa. SBOM tupulaga fa'atasi ai ma le fa'amalosia o tulafono fa'avae mo 'au o latou meafaitino o ata o koneteina.
Mafaufauga mulimuli
SBOM E eseese meafaigaluega mai masini fa'atupu eletise tuto'atasi e o'o atu i fa'avae va'aia atoatoa o le sapalai. O le filifiliga sa'o e fa'alagolago pe mana'omia e lau 'au le gaosiga, fa'aleleia atili, pulea, po'o mea uma e tolu, ma pe mana'omia e na agava'a ona fetaui ma se fa'aputuga saogalemu o lo'o iai pe sui meafaigaluega vaevaeina i se auala tu'ufa'atasi.
Mo 'au e mana'omia SBOMe sili atu nai lo na o ni mea e fa'aaogaina e tusa ai ma tulafono, e feso'ota'i ma fa'amaumauga o vaivaiga ola, e fa'amauoa i le fa'aaogaina o mea, ma lagolagoina e le toe fa'aleleia otometi, e tu'uina atu e Xygeni le atoatoa SBOM gafatia i le 2026 o se vaega o lana fausaga tuufaatasi o le AppSec e fa'aaogaina e le AI.
FAQ
O le a le mea SBOM mea faigaluega?
An SBOM O meafaigaluega o se fa'avae po'o se mea faigaluega e gaosia, pulea, pe iloiloina Polokalama Fa'akomepiuta o Meafaitino. O meafaigaluega e gaosia ai mea e gaosia ai e gaosia ai vaega fa'atulagaina mai le code puna, ata o koneteina, po'o mea e fausia ai. O meafaigaluega pulega e fa'aogaina. SBOMmai le tele o punaoa mo le pulega tutotonu. O le sili ona agavaa SBOM E tuʻufaʻatasia e meafaigaluega le gaosiga ma le faʻaleleia atili o vaivaiga, mataʻituina faifai pea, ma le lipotia o le tausisia o tulafono i totonu o le tasi faiga faigaluega.
O le ā le eseesega i le va o le SPDX ma le CycloneDX?
O le SPDX ma le CycloneDX o mea autū ia e lua SBOM faatulagaga. O le SPDX e pulea e le Linux Foundation ma standardua fa'avasegaina o le ISO/IEC 5962:2021, e ofoina atu ai fa'amatalaga auiliili e uiga i laisene, puletaofia, ma le amataga, ma avea ai ma mea e fetaui lelei mo le tausisia o tulafono ma su'esu'ega tatala. O le CycloneDX e tausia e le OWASP, e fa'aaoga ai le JSON po'o le XML serialization mama, ma ua mamanuina mo le saoasaoa ma le saoasaoa CI/CD otometi. O le tele enterprise SBOM e lagolagoina uma e meafaigaluega ia lua. O le filifilia i le va o ia mea e faʻalagolago pe o le faʻaaogaina autu o pepa o le tausisia o tulafono poʻo le otometi pipeline faʻatasi.
e SBOMe mana'omia faaletulafono?
I le Iunaite Setete, SBOMe fa'amalosia mo i latou e tu'uina atu polokalama faakomepiuta i ofisa feterale i lalo o le Poloaiga Fa'atonu 14028. I Europa, o le a mana'omia e le EU Cyber Resilience Act SBOMs i le tele o vaega oloa. O faʻavae faʻapitoa mo vaega e aofia ai le UNECE WP.29 mo polokalama faakomepiuta taʻavale o loʻo faia foʻi SBOMe tatau ona faia i pisinisi fa'atulafonoina. E sili atu i mana'oga fa'aletulafono, SBOMo loʻo faʻateleina le faʻamoemoeina e enterprise tagata faʻatau o se vaega o le suʻesuʻega tatau o faʻatauga.
O le a le eseesega i le va o le SBOM ma se faʻamatalaga VEX?
An SBOM O loʻo lisiina ai vaega i totonu o se polokalama faakomepiuta. O se faʻamatalaga VEX (Vulnerability Exploitability Exchange) e faʻamanino ai pe o se vaivaiga ua iloa e aʻafia ai se tasi o na vaega e mafai ona faʻaaogaina moni lava i totonu o se oloa faʻapitoa. SBOM e taʻu atu ia te oe le mea o loʻo iai; o se faʻamatalaga VEX e taʻu atu ia te oe poʻo le a le mea o loʻo iai o loʻo faʻatusalia ai le lamatiaga e mafai ona faʻaaogaina. O le mea sili ona aoga SBOM E fa'atupuina e meafaigaluega ia mea uma e lua ma fa'aauau pea ona fa'afetaui pe a fa'aalia ni vaivaiga fou.
lea SBOM O le ā le meafaigaluega e sili ona lelei mo 'au a le DevSecOps?
Mo 'au a le DevSecOps e mana'omia SBOMs o se vaega o se faiga lautele o le saogalemu nai lo le avea o se galuega e tutoʻatasi e tausisia tulafono, e tuʻuina atu e Xygeni le tuʻufaʻatasiga sili ona atoatoa: gaosiga moni i le SPDX ma le CycloneDX formats, faʻaleleia atili i CVEs taimi moni, togi EPSS, ma le auʻiliʻiliga o le mafai ona ausia, auina atu i fafo VDR mo le tausisia tulafono, toe faʻaleleia otometi e ala i le AI AutoFix, ma CI/CD tu'ufa'atasiga, e aunoa ma le tau o nofoa ta'itasi po'o se tu'ufa'atasiga tu'ufa'atasia SBOM meafaigaluega.
