kuanzishwa
Mnamo Agosti 22, 2025, Wakala wa Usalama wa Mtandao na Miundombinu (CISA) ilichapisha rasimu ya Vipengele vya Chini vya 2025 kwa Muswada wa Vifaa vya Programu (SBOMSasisho hili linajengwa juu ya mfumo wa NTIA wa 2021 na linaonyesha ni kiasi gani SBOM standardzimekomaa. Kwa watengenezaji na timu za usalama, ni hatua muhimu. Zaidi ya yote, mpya CISA SBOM mabadiliko ya mwongozo SBOMkutoka orodha za ukaguzi zisizobadilika hadi zana za vitendo zinazoimarisha usimamizi wa hatari za programu na kulinda mnyororo wa usambazaji wa programu.
Rasimu rasmi inapatikana kwenye CISA SBOM ukurasa wa rasilimali na inaweza kupakuliwa moja kwa moja kama PDF.
CISA SBOM dhidi ya NTIA 2021: Kwa nini sasisho ni muhimu
awali NTIA SBOM Vipengele vya Chini Zaidi (2021) iliunda msingi wa uwazi. Wakati huo, kupitishwa kulikuwa na kikomo na zana hazikuwa za kizamaniSonga mbele haraka, SBOMsasa zinatarajiwa na mashirika na enterprises, na CI/CD ujumuishaji na otomatiki kuwa kawaida.
The CISA SBOM Vipengele vya Chini vya 2025 vinaangazia mageuzi haya. Kwa kweli, vinaongeza kiwango cha SBOM standardkwa kuhitaji data nyingi zaidi, otomatiki zaidi, na maarifa yanayoweza kutekelezwa ambayo timu zinaweza kutumia kwa usimamizi endelevu wa hatari za programu.
Nini mpya katika CISA SBOM Vipengele vya Chini Zaidi 2025
| Kipengele | NTIA 2021 | CISA SBOM 2025 | Athari ya Vitendo kwa Timu |
|---|---|---|---|
| Hash ya Kipengele | Haijafafanuliwa | Imeongezwa (uadilifu wa usimbaji fiche) | Thibitisha mabaki na ugundue uchezeshaji; kwa hivyo, tekeleza uthibitisho wa checksum/saini katika CI/CD. |
| leseni | Haijafafanuliwa | Imeongezwa (hatari ya kisheria na usaidizi) | Tengeneza uzingatiaji wa leseni ya OSS kiotomatiki; zaidi ya hayo, zuia leseni zisizoendana wakati wa PR au wakati wa ujenzi. |
| Jina la Zana | Haijafafanuliwa | Imeongezwa (uwazi wa jenereta) | Fuatilia SBOM asili; kwa hivyo, standardize SBOM zana za jenereta kwa kila pipeline. |
| Muktadha wa Kizazi | Haijafafanuliwa | Imeongezwa (kabla ya ujenzi / wakati wa ujenzi / baada ya ujenzi) | Chagua hatua sahihi kwa SBOM uumbaji. Kwa mfano, muda wa ujenzi SBOMs huboresha uwezo wa kuzaliana, huku baada ya ujenzi SBOMkukamata mabaki yaliyowekwa kwa ajili ya usalama wa uendeshaji. |
| Mzalishaji wa Programu | "Jina la Mtoaji" | Jina jipya na ufafanuzi | Punguza utata katika umiliki; ili kufafanua, onyesha Mzalishaji kwenye chombo chako cha kisheria katika SBOM metadata. |
| Chanjo | "Kina" (kidogo) | Ufikiaji kamili (wa moja kwa moja + wa mpito) | Hakikisha grafu kamili za utegemezi; kwa hivyo, jumuisha vibadilishi kutoka kwa faili za kufuli na maonyesho. |
| Haijulikani Haijulikani | Ushughulikiaji usioeleweka | Dhahiri (zilizokosekana dhidi ya zilizoondolewa) | Alama mapengo kwa uwazi; zaidi ya hayo, fungua ufuatiliaji ili kutatua data ya vipengele inayokosekana. |
Kwa nini masasisho haya ni muhimu kwa usimamizi wa hatari za programu
mpya SBOM Vipengele vya Chini Zaidi kugeuka SBOMs katika zana za vitendo za hatari. Zaidi ya hayo, zinaendana moja kwa moja na za kisasa usimamizi wa hatari za programu kwa kusaidia mashirika:
- Thibitisha uadilifu kwa kutumia hashes ili kuingilia kati na doa.
- Tafuta udhaifu haraka zaidi kwa kuunganisha SBOMpamoja na ushauri wa VEX na CSAF.
- Tengeneza ukaguzi wa leseni kiotomatiki ili kupunguza hatari za kisheria.
- Marekebisho ya umakini kwenye utegemezi unaotumika.
- Update SBOMs kwa kila toleo na wakati wowote maelezo mapya yanapoonekana.
- Kushiriki SBOMInaweza kupatikana kwa urahisi kupitia API, hazina, au URL zilizobadilishwa ili kuongeza ukubwa katika DevOps.
Matokeo yake, SBOMhuwa hati hai zinazounga mkono ulinzi unaoendelea. Hatimaye, mfumo huu unalingana na kanuni muhimu kama vile EO 14028 (Marekani), miongozo ya NIST, Mkakati wa Usalama wa Mtandao wa EU, mwongozo wa FDA, na CCM.
Kuzingatia CISA SBOM mwongozo katika DevOps pipelines
Kufuata mpya CISA SBOM Vipengele vya Chini Zaidi, mashirika yanapaswa kurekebisha michakato na zana zote mbili:
- Ondoa SBOM kizazi kwa kila toleo katika CI/CD.
- Kufunika utegemezi wa moja kwa moja na usio wa moja kwa moja.
- Bendera Haijulikani Haijulikani wazi.
- Kurekebisha SBOMwakati taarifa mpya zinapoonekana.
- Kushiriki SBOMkupitia API, hazina, au URL.
- Thibitisha uhalisi kwa kutumia sahihi SPDX na CycloneDX SBOM standards.
Kwa hivyo, kufuata sheria kunamaanisha kujenga SBOM katika mtiririko wa kazi wa uundaji badala ya kuuongeza mwishoni. Zaidi ya hayo, hii inahakikisha kwamba wasanidi programu, timu za usalama, na wasimamizi wa uzingatiaji wote wanashiriki mtazamo mmoja na wa kuaminika wa hatari ya programu.
Jinsi Xygeni inavyosaidia timu kukutana na kuzidi CISA SBOM standards
Xygeni inazingatia CISA SBOM Vipengele vya Chini Zaidi imefumwa na huongeza thamani yake kwa uwezo wa kina wa usalama:
- CI/CD ushirikiano: Ondoa SBOM kizazi katika SPDX na CycloneDX kwa kila pipeline.
- Uboreshaji: Ongeza hashes, leseni, na metadata ya zana kwa mwonekano kamili.
- Ripoti za Ufichuzi wa Udhaifu (VDR): Link SBOM data yenye udhaifu wa moja kwa moja, athari, na mikakati ya kurekebisha.
- Kipaumbele: Changanya uchanganuzi wa uwezo wa kufikia watu na Ufungaji wa EPSS kuzingatia udhaifu unaoweza kutumiwa zaidi.
- Mapema Onyo System: Gundua vifurushi vinavyotiliwa shaka katika sajili kabla haviathiri miundo.
- Milango ya Utekelezaji: Tekeleza SBOM inaingia pull requests na hujenga, kuzuia muunganiko usio salama.
- Siri na ugunduzi wa programu hasidi: Panua SBOMs pamoja na mwonekano katika siri zilizopachikwa au mifumo hasidi ya msimbo.
- Urekebishaji Kiotomatiki wa AI: Tengeneza salama pull requests pamoja na marekebisho yanayozingatia muktadha, kugeuza SBOM matokeo ya marekebisho ya haraka.
- Uthibitisho: Hakikisha kila SBOM imesainiwa, inaweza kufuatiliwa, na inaaminika.
Zaidi ya hayo, kupachika SBOM Uzalishaji, uthibitishaji, na urekebishaji katika mtiririko wa kazi wa wasanidi programu hubadilisha uzingatiaji wa sheria kuwa usimamizi wa hatari za programu unaozingatia tahadhari. Zaidi ya yote, huwezesha timu kuzuia hatari kabla hazijafikia uzalishaji na kuonyesha ukomavu wakati wa ukaguzi.
Tazama jinsi Xygeni inavyozalisha SBOMs katika yako pipeline
Hitimisho
The CISA SBOM Vipengele vya Chini Zaidi 2025 onyesha kuwa SBOMsasa ni sehemu muhimu ya usalama wa kisasa. Kwa kuboresha SBOM standards na kuziongeza moja kwa moja katika maendeleo pipelines, CISA inahakikisha mashirika yanaweza kufikia uwazi, otomatiki, na endelevu usimamizi wa hatari za programu.
Kwa hivyo, timu zinazofuata mazoea haya hupata sio tu utiifu lakini pia ustahimilivu zaidi. Ukiwa na Xygeni, unaweza kuunda utiifu SBOMs, ongeza muktadha muhimu, na uimarishe usalama wako pipelinebila kupunguza kasi ya maendeleo.
Weka onyesho lako leo na uone jinsi Xygeni inavyotengeneza CISA SBOM kufuata sheria rahisi.
