O se tasi o meafaigaluega taua e faʻaleleia atili ai le saogalemu o polokalama faakomepiuta o le Lisi o Meafaitino o Polokalama Faakomepiuta po'o SBOM. aʻo SBOMua leva ona faʻaaogaina e le au atiaʻe polokalama faakomepiuta, ua matuā faʻateleina lo latou taua i aso nei, aemaise lava i le tuʻuina atu o le Poloaiga Fa'atonu i le Fa'aleleia atili o le Puipuiga Fa'atekonolosi a le Atunu'u. Ae o le ā se SBOM, ma aiseā e matuā tāua tele ai i le tulaga o le saogalemu o polokalama faakomepiuta? Seʻi o tatou faʻamalamalamaina mea lilo ma suʻesuʻe lo latou tāua.
Lisi o Mataupu
O le a le mea SBOM?
E te iloa le mea e ta'ua o se SBOME pei ona fa'amatala manino mai e le NTIA, "O se SBOM o se fa'amaumauga tu'ufa'atasi, o se lisi o mea e fausia ai vaega o polokalama faakomepiuta. " Mafaufau i le mea e fai ai o se lisi o meaʻai mo se fua. E pei lava ona lisiina e se fua meaʻai uma e manaʻomia e fai ai se meaʻai, e faapena foʻi SBOM fa'amaumauina vaega uma ma mea e fa'alagolago i ai e fausia ai se polokalama faakomepiuta. E aofia ai mea uma mai faletusi tatala ma vaega a isi vaega i tulafono fa'apitoa ma laisene.
SBOM E maua mai i le saogalemu se vaaiga atoatoa o poloka faufale o se polokalama faakomepiuta, e mafai ai e faalapotopotoga ona malamalama ma pulea tulaga lamatia tau le saogalemu e fesoʻotaʻi ma vaega taʻitasi. O lenei vaaiga e fesoasoani i le iloiloina o vaivaiga, siakiina o faafouga, ma le faailoaina o vaega e ono vaivai ai i totonu o le sapalai o polokalama faakomepiuta.
Mea Taua na Tutupu i le Avetaavale SBOM faiga mā
Le vaetamaina SBOM Ua maua le malosi tele o le saogalemu i tausaga talu ai nei, ona o le tele o mea taua ma atinae:
- Poloaiga Fa'atonu i le Fa'aleleia atili o le Puipuiga Fa'atekonolosi a le Atunu'u (EO 14028)Ia Me 2021, na tuʻuina atu ai e le Maota Paepae le EO 14028, lea e faʻatonuina ai le faʻaaogaina o SBOMs mo nisi o polokalama faakomepiuta taua i le malo tele ma faʻamalosia ai lo latou faʻaaogaina i le vaega tumaoti atoa.
- National Institute of StandardFa'afouga o le Fa'avae o le Puipuiga o le Initaneti ma Tekonolosi (NIST)I le 2022, na faʻafouina ai e le NIST lana Cybersecurity Framework e faʻaofi ai o se pulea autu mo le faʻaleleia atili software supply chain security.
- Fa'alapotopotoga Fa'ava-o-malo mo Standardfa'atulagaina (ISO) Standardfa'alauiloaina: I le 2023, Na lomia e le ISO le ISO/IEC 5280:2023 standard mo SBOMs, saunia a standardauala fa'apitoa e fatuina, pulea, ma fesuia'i ai fa'amatalaga.
O a fa'amatalaga e fai e se SBOM aofia ai?
SBOME maua i fa'atulagaga eseese, e tofu ma ona lelei ma ona fa'aletonu. O le SPDX ma le CycloneDX o nisi ia o fa'amatalaga e sili ona fa'aaogaina soo SBOM mamanu.
E masani ona aofia ai vaega taua nei:
- Vaega o PolokalamaO se lisi auiliili o vaega uma o le polokalama faakomepiuta e faʻaaogaina i le oloa, e aofia ai faletusi, faʻavae, ma faila faʻapipiʻi.
- Numera o Lomiga: Fa'ailoga fa'apitoa o lomiga mo vaega ta'itasi o polokalama faakomepiuta, e mafai ai ona su'e ma fa'ailoaina vaivaiga e ono tula'i mai.
- Dependencies: O se fa'afanua o sootaga i le va o vaega o polokalama faakomepiuta, e fa'aalia ai le auala latou te fegalegaleai ai ma fa'alagolago ai le tasi i le isi.
- MetadataFa'amatalaga fa'aopoopo e feso'ota'i ma vaega ta'itasi o polokalama faakomepiuta, e pei o le laisene, fa'amatalaga a le fa'atau'oloa, ma fa'amatalaga o le puletaofia.
- Vaivaiga e puipuia aiAfai e maua, faʻamatalaga e uiga i vaivaiga ua iloa e fesoʻotaʻi ma vaega o le polokalama faakomepiuta.
Fa'ata'ita'iga o le Afa o le Afa DX SBOM i le faatulagaga JSON
{ "bomFormat": "CycloneDX", "specVersion": "1.3", "serialNumber": "urn:uuid:6a77d60f-8711-4fb2-ba57-80a8a4a6d2a1", , "version": 1, "metadata": { "timestamp": "2023-10-30T12:30:00Z", "tools": [ { "vendor": "Xygeni.io", "name": "SBOM Generator", "version": "1.0" } ] }, "components": [ { "type": "library", "name": "nacl-library", "version": "1.0.0", "group": "com.example.security", "licenses": [ { "id": "Apache-2.0", "name": "Apache License 2.0", "url": "https://opensource.org/licenses/Apache-2.0" } ] }, { "type": "application", "name": "secure-app", "version": "2.5.1", "group": "com.example.apps", "licenses": [ { "id": "MIT", "name": "MIT License", "url": "https://opensource.org/licenses/MIT" } ], "components": [ { "type": "framework", "name": "Spring Boot", "version": "2.6.0", "licenses": [ { "id": "Apache-2.0", "name": "Apache License 2.0", "url": "https://opensource.org/licenses/Apache-2.0" } ] }, { "type": "library", "name": "log4j", "version": "2.14.1", "licenses": [ { "id": "Apache-2.0", "name": "Apache License 2.0", "url": "https://opensource.org/licenses/Apache-2.0" } ] } ] } ] } Aisea SBOM E Taua le Saogalemu i le Saogalemu o Polokalama Faakomepiuta
Fa'aleleia atili o le Iloaina ma le Toe Fa'aleleia o Vaivaiga
SBOME taua tele le sao o nei polokalama i le faʻailoaina ma le toe faʻaleleia o vaivaiga o le saogalemu i totonu o polokalama faakomepiuta. I le tuʻuina atu o se lisi atoa o vaega uma o polokalama faakomepiuta ma mea latou te faʻalagolago i ai, e mafai ai e faʻalapotopotoga ona:
- Siaki le amataga o vaega: SBOMs e faʻaalia ai le amataga o vaega o polokalama faakomepiuta, ma mafai ai e faʻalapotopotoga ona toe suʻe i tua i le code puna muamua poʻo le afifi mo faʻamatalaga ma faʻaleleia o vaivaiga.
- Fa'ailoa vaivaiga ua iloa: SBOME mafai ona su'esu'eina fa'asaga i fa'amaumauga o vaivaiga e fa'ailoa ai vaivaiga ua iloa e feso'ota'i ma vaega fa'apitoa. O lenei auala fa'atino e fesoasoani i fa'alapotopotoga e fa'amuamua le fa'aleleia o vaivaiga taua a'o le'i fa'aaogaina e tagata osofa'i.
- Fa'aautomatika le su'esu'eina o vaivaiga: SBOME mafai ona fa'aaogaina le s e fa'aautomatika ai faiga o le su'esu'eina o vaivaiga, e sefe ai le taimi ma le taumafaiga mo le au atia'e ma 'au puipuiga. O lenei fa'aautomatika e mafai ona fa'aleleia atili ai le lelei o taumafaiga e pulea ai vaivaiga.
Fa'aleleia atili o le Tausisia o le Puipuiga Standards
Le vaetamaina SBOM Ua fa'ateleina le taua o le saogalemu mo fa'alapotopotoga e fa'aalia ai le tausisia o le saogalemu o polokalama faakomepiuta standardma tulafono faatonutonu. O le tele o faalapotopotoga o pisinisi ma ofisa o le malo ua latou faatonuina le faaaogaina o SBOMs, e aofia ai:
- Matagaluega o le Puipuiga a Amerika (DoD): Fa'atonuina le fa'aaogaina o SBOMs mo polokalama faakomepiuta uma ua atia'e mo pe fa'aaogaina e le DoD.
- Le National Security Agency (NSA): Fautuaina lona faʻaaogaina e faʻaleleia atili ai software supply chain security.
- Le Pulega o Fesootaiga ma Faʻamatalaga a le Atunuʻu (NTIA)): Fa'aleleia le atina'eina ma le taliaina o SBOM standardma taiala.
- le OpenSSF Galulue VaegaO se fuafuaga fa'ale-nu'u e fa'alauiloa ai le standardfa'avaeina ma le taliaina o SBOMs.
I le tausisia o nei tulafono, e mafai ai e faʻalapotopotoga ona faʻaalia lo latou commitle a'oa'oina o le saogalemu i luga o le initaneti ma puipuia i latou lava mai sala tupe ma fa'asalaga e ono tula'i mai.
Fa'aleleia le Malamalama ma le Su'esu'eina
Latou te faʻalauiloaina le manino ma le mafai ona suʻeina i le sapalai atoa o polokalama faakomepiuta. I le tuʻuina atu o se vaʻaiga manino ma atoatoa o vaega o le polokalama faakomepiuta ma o latou amataga, SBOMe mafai e s ona fesoasoani i le:
- Faailoa ma fa'aitiitia osofa'iga i le sapalai o sapalai: SBOME mafai ona fa'aaogaina le s e fa'ailoa ai ni vaivaiga e ono tula'i mai e ala i vaega po'o sapalai ua fa'aleagaina. E mafai ona fa'aaogaina nei fa'amatalaga e faia ai ni gaioiga fa'asa'o e puipuia ai mai osofa'iga a le sapalai.
- Fa'aleleia le galulue fa'atasi i le va o pa'aga: SBOME mafai e s ona faafaigofieina le galulue faatasi i le va o le au atiaʻe, 'au puipuiga, ma isi paʻaga i le sapalai atoa o polokalama faakomepiuta. E mafai ona fesoasoani lea e faʻamautinoa ai o tagata uma e aʻafia ua malamalama lelei i le faʻatulagaga ma le tulaga saogalemu o le polokalama faakomepiuta.
Tali Lelei i Faalavelave Tutupu
E mafai ona latou fesoasoani e faʻaitiitia le lamatiaga o aʻafiaga i lalo ifo mai vaivaiga o le saogalemu e ala i le:
- Fa'ailoaina vave ma le toe fa'aleleia: SBOME mafai ai e faʻalapotopotoga ona iloa ma toe faʻaleleia vaivaiga i le amataga o le faʻagasologa o le atinaʻe aʻo leʻi faʻaaogaina i siosiomaga gaosiga. E mafai ona puipuia ai aafiaga i lalo ifo, e pei o le solia o faʻamaumauga ma le motusia o fesoʻotaʻiga.
- Fa'aitiitia le taimi e foia ai: SBOME mafai e s ona fa'avavevaveina le fa'agasologa o le fa'apipi'iina o mea fou e ala i le tu'uina atu i le au atia'e o se malamalamaga manino i vaega ua a'afia ma o latou fa'alagolago. E mafai ona fa'aitiitia ai le taimi e alu ai e fa'ailoa ma fa'aoga ai mea fou, ma fa'aitiitia ai le avanoa mo tagata osofa'i e fa'aaoga ai vaivaiga.
Tulaga a'e a'e i SBOM Fa'avae mo le Saogalemu
E pei o le vaetamaina o SBOMO loʻo faʻaauau pea ona tuputupu aʻe, o loʻo faʻaalia ai le tele o aga masani:
- Standardfa'atulagaina ma le Felagolagoma'i: le standardO le fa'alauteleina o fa'atulagaga, e pei o le CycloneDX, o lo'o fa'alauiloaina ai le galulue fa'atasi i le va o meafaigaluega ma fa'avae eseese.
- Feso'ota'iga ma DevOps ma CI/CD Pipelines: SBOMo loʻo tuʻufaʻatasia i totonu o le DevOps ma CI/CD pipelinee fa'aautomatika ai le gaosiga, pulega, ma le tufatufaina atu o fa'amatalaga.
- Ao-faavae SBOM Tali: Lagi-faʻavae SBOM O loʻo aliaʻe mai ni fofo, ma maua ai e faʻalapotopotoga se faʻavae e mafai ona faʻalauteleina ma saogalemu mo le puleaina o a latou faʻamatalaga.
- Fa'ateleina o le Galulue Fa'atasi ma le Fausiaina o le Nu'u: le SBOM o loʻo tuputupu aʻe le alalafaga, faʻatasi ai ma faʻalapotopotoga ma tagata taʻitoʻatasi o loʻo galulue faʻatasi i taumafaiga e faʻalauiloa SBOM le taliaina ma le atina'eina o le saogalemu.
E faapefea ona ou maua se SBOM & Fa'aleleia le Saogalemu o La'u Polokalama Faakomepiuta?
O lea la ua e iloa le uiga o se SBOM ua e malamalama o le faia ma le tausia o se SBOM E mafai ona avea le saogalemu ma se galuega faigata, aemaise lava mo faʻalapotopotoga e tele ma lavelave le sapalai o polokalama faakomepiuta. Fa'avae a Xygeni e mafai ona otometi lava ona gaosia SBOMs mo au fale teu oloa polokalama i le fa'atulagaga SPDX ma CycloneDX e fa'aaogaina lautele. E fa'amautinoa ai fo'i le tausisia o tulafono a le malo o Amerika ma pisinisi standards, e pei o le Ofisa o le Puipuiga o le Initaneti ma Atina'e Fa'asaienisi (CISManaʻoga a le A).
Fa'afouina o le Saogalemu o Polokalama Faakomepiuta ma le Fa'amautinoaina o le Fa'amaoni Fa'atekinolosi
SBOM o se malosiaga fa'aliliu i le lalolagi numera, e suia ai software supply chain security ma le faʻamalosia o faʻalapotopotoga e faʻatautaia ma le mautinoa le faigata o faiga faʻaonaponei o polokalame faakomepiuta. O lo latou gafatia e faʻaleleia atili ai le manino, puipuia le faʻamaoni, ma faʻafaigofie le tausisia o tulafono e avea ai ma meafaigaluega taua mo 'au puipuiga i le lalolagi atoa.
Talia SBOM e taua tele le saogalemu mo soʻo se faʻalapotopotoga o loʻo taumafai e faʻaleleia atili faiga faʻatino mo le saogalemu o polokalama faakomepiuta. Malamalama i le mea o se SBOM fa'aleleia atili ai le va'aia o le sapalai o sapalai, fesoasoani ai i 'au saogalemu e pulea tulaga lamatia ma fa'amautinoa le tausisia o tulafono.
As SBOM o loʻo faʻaauau pea ona faʻatupulaʻia le faʻaaogaina, o lona matafaioi taua i le puipuia o faiga faʻakomepiuta ua faʻateleina le manino. O faʻalapotopotoga e taliaina SBOME lē gata o loʻo pulea e le au faʻaletonu; ae o loʻo latou teu faʻafaigaluega i le lumanaʻi o le saogalemu o polokalama faakomepiuta, ma faʻamautinoa ai le tulaga mautu ma le maufetuunaʻi o a latou atinaʻe faʻatekinolosi. SBOME lē na'o se meafaigaluega; ae o se mea taua tele mo fa'alapotopotoga o lo'o sailia le manuia i se lalolagi e feso'ota'i tele ma fa'avae i fa'amaumauga.
