ווייכווארג היינט ווערט צוזאמענגעשטעלט פון אומצאליגע אפענע מקור און דריט-פארטיי קאמפאנענטן. ווי די נויטווענדיגקייט פאר צוטרוי, זעבארקייט און קאנטראל וואקסט איבער די צושטעל קייט, די OWASP SBOM standard CycloneDX איז ארויסגעקומען אלס איינס פון די וויכטיגסטע מכשירים אין מאדערנעם AppSec און דעווסעקאָפּסווען אימפלעמענטירט, א ציקלאן-די-עקס SBOM גיט פולע טראַנספּאַרענץ—פון ווייכווארג און סערוויסעס ביז מאַשין לערנען מאָדעלן און האַרדווער קאָמפּאָנענטן.
דאָס איז נישט נאָר נאָך אַ ספּעק - עס איז אַ פולשטענדיקער מאַטעריאַל־ליסטע וואָס גיט אײַך אַן אומגעגלייכטן איבערבליק איבער וואָס איז אינעווייניק פֿון אײַער ווייכווארג. דעוועלאָפּט דורך די OWASP פונדאַציע, CycloneDX איז איצט א פארמאלע ECMA-424 standard, געשטיצט דורך א לעבעדיגע גלאבאלע קהילה און געבויט פאר ריזיקע רעדוקציע אין גרויסן פארנעם.
וואָס איז CycloneDX?
אין זײַן קערן, איז CycloneDX אַ לײַכטע, מאָדערנע ווייכווארג מאַטעריאַלן־רעכענונג (SBOM) פֿאָרמאַט געבויט פֿאַר זיכערהייט, אויטאָמאַציע, און פאַקטישע DevSecOps וואָרקפלאָוז. עס איז אויך די יסוד פֿון OWASP SBOM standard—אנערקענט גלאָבאַל און איצט פאָרמאַליזירט ווי עקמאַ-424.
CycloneDX העלפט טימז דאָקומענטירן יעדן קאָמפּאָנענט אין זייער ווייכווארג—פון אָפֿן-קוואַל פּעקלעך און סערוויסעס ביז לערן-לערנען מאָדעלן, קריפּטאָגראַפֿישע אַסעץ, און אפילו האַרדווער. מיט אַנדערע ווערטער, עס גיט אײַך אַ פולשטענדיקן אינווענטאַר פֿון אַלץ וואָס איר שיקט.
דערצו, CycloneDX שטייט ארויס דורך אנבאטן:
- הויך אויטאמאטיזאציע און נאָטלאָז CI/CD ינאַגריישאַן
- קייפל פֿאָרמאַטן: JSON, XML, און פּראָטאָקאָל באַפֿערס
- סופּפּאָרט פֿאַר SBOM, סאאSBOM, ML-BOM, CBOM, און נאך
- איינגעבויטע עקסטענשאַנז ווי VEX, CDXA, און אַטעסטיישאַנז
אלס רעזולטאט, גייט עס ווייטער ווי גרונטלעכע אפהענגיקייט טרעקינג. CycloneDX ערמעגליכט פראאקטיווע ריזיקע מענעדזשמענט, שוואכקייט רעאקציע, און רעגולאטורישע קאמפלייענס - אלעס אין א פארמאט מיט וואס דעוועלאָפּערס ווילן טאקע ארבעטן.
בייַשפּיל CycloneDX SBOM (JSON שטיקל):
פארוואס CycloneDX SBOM וויכטיק פֿאַר DevSecOps טימז
אויב איר שיפּט קאָד, שיפּט איר אויך ריזיקע. CycloneDX מאַכט דעם ריזיקע קענטיק.
מיט CycloneDX SBOMס, איר קענען:
- אידענטיפיצירן אַלטמאָדישע אָדער שוואַכע דעפּענדאַנסיז
- פֿאַרשטיין ליצענץ פֿאַרפֿליכטונגען
- דעטעקטירן טראַנזיטיווע ריזיקעס פרי
- צופּאַסן זיך צו פריימווערקס ווי SSDF, דאָראַ, און ניס 2
- שטיצן ראַנטיים אָרנטלעכקייט וועראַפאַקיישאַן און העסקעם ווי קאָד
אין קורצן: איר באַקומט די "נוטרישאַן לייבל" פֿאַר אייער ווייכווארג - אויטאָמאַטיש און פּינקטלעך.
ווי אזוי צו ניצן CycloneDX SBOM איבערן ווייכווארג לעבנסציקל
א ציקלאָן די-עקס SBOM איז נישט נאָר עפּעס וואָס איר דזשענערירט—עס איז עפּעס וואָס איר ניצט. אין פאַקט, צי איר סקענט פֿאַר וואַלנעראַביליטיז אָדער פֿאַרפּשוטערט קאַנפאָרמאַנס, דאָ איז ווי CycloneDX ברענגט עכט ווערט איבער די ווייכווארג לעבן ציקל:
וואַלנעראַביליטי פאַרוואַלטונג וואָס אַרבעט פֿאַר דעוועלאָפּערס
צו אָנהייבן מיט, ידענטיפיצירן ריזיקעס פרי ניצנדיק standard אידענטיפיצירער (CPE, PURL, SWID) וואָס אינטעגרירן מיט SCA אדער זעלבשטענדיקע סקאַנערס.
דערנאך, טריאַזש קלוגער מיט VEX (Vulnerability Exploitability eXchange) צו ווייַזן וועלכע CVEs טאַקע אַפּלייזן צו דיין סביבה.
פאַרריכטן שנעלער ניצן פּרעcisע. א., רעפּראָדוסירבארע דאַטן—CycloneDX העלפֿט אײַער מאַנשאַפֿט זיך צו פֿאָקוסירן אויף דעם ריכטיקן אָרט מיט ווייניקער אַהין און צוריק.
צום סוף, אַנטפּלעקן שוואַכקייטן פאַראַנטוואָרטלעך מיט איינגעבויטע שטיצע פֿאַר VDRs (Vulnerability Disclosure Reports) אַליינד צו ISO standards.
אידעאַל פֿאַר זיכערהייט טימז, פּראָדוקט פאַרקויפער, און הויך-פארזיכערונג סביבות.
צושטעל קייט צוטרוי, אָרנטלעכקייט און אָטענטיסיטי
וואַלידירן די אינטעגריטעט פון קאָמפּאָנענטן מיט קריפּטאָגראַפֿישע העשיז, און זיכער מאַכן אַז די קאָמפּאָנענטן זענען נישט געטוישט געוואָרן.
צו לייגן צו נאך א שיכט פון צוטרוי, אונטערשרייבט SBOMניצן JSF אדער XMLsig צו באשטעטיגן דעם אָפּשטאַם און אויטענטישקייט.
דערצו, טרעקט נאך די אָפּשטאַמונג און פּעדאַגרי צו דעטעקטירן שאָטן אָדער נישט-אָטעריזירטע ענדערונגען - שליסל צו האַלטן צוטרוי צווישן פאַרשפּרייטע טימז און דריט-פּאַרטיי קאָדבאַזעס.
גוט פֿאַר זיכערן בנין pipelineס, באַווייַזן צוטרוי, אָדער זיך אויסגלייַכן מיט זיכער SDLC standards.
אינווענטאַר אַלץ—סאָפֿטווער, סערוויסעס, קינסטלעכע אינטעליגענץ מאָדעלן, האַרדווער
כאַפּט אַ פולשטענדיקן אינווענטאַר פון אייער סטעק - פֿון קאָד ביבליאָטעקן און APIs ביז ML מאָדעלן און עמבעדיד דעוויסעס.
דערצו, האַלט אן א זעאונג אין קריפּטאָגראַפֿישע אַסעץ ווי שליסלען און סערטיפֿיקאַטן, און זאָרגט אז גאָרנישט גייט נישט דורך די שפּאַצן.
געבויט פֿאַר טימז וואָס פאַרוואַלטן קאָמפּלעקסע סטאַקס, לעגאַסי סיסטעמען, אָדער רעגולירטע סביבות.
לייסענס פאַרוואַלטונג און IP גאַווערנאַנס
אויטאמאטיזירן אפן-קוואל לייסענס טשעקס ניצנדיק SPDX מעטאדאטן גלייך אינעווייניג פון אייער CycloneDX OWASP SBOM.
טראַק קאמערציעלע לייסענסעס און דאַטן באַניץ רעכט צו בלייבן קאַמפּליאַנט בעשאַס אַדאַץ און פּראָקורעמענט ציקלען.
אידעאל פֿאַר אינזשעניריע פירער, לעגאַלע טימז, און ווער עס יז וואָס פאַרוואַלטעט OSS פּאָליטיקס.
דעפּענדענסי גראַפס און סיסטעם אַרכיטעקטור
מאַפּירן ביידע דירעקטע און טראַנזיטיווע אָפּהענגיקייטן מיט קלאַרקייט.
פֿאַרשטיין ווי סערוויסעס און קאָמפּאָנענטן אַרבעטן צוזאַמען אין אײַער אַרכיטעקטור—העלפֿן טימז רעדוצירן קאָמפּלעקסיטעט, פאַרוואַלטן ריזיקע און פֿאַרבעסערן פאָרשטעלונג.
פערפעקט פֿאַר AppSec, DevOps, און סיסטעם אַרכיטעקטן גלייך.
קאָנפאָרמאַנס און עווידענס אויטאָמאַציע
שטיצן קאנפארמאַנס מיט פריימווערקס ווי דאָראַ, ססד"ף, און ניס 2 ניצן CycloneDX אַטטעסטאַטיאָנס (CDXA).
עקספּאָרטיר מאַשין-לייענבארע באַריכטן, און אָרגאַניזיר באַווײַזן איידער אויספֿאָרשונגען—נישט נאָכדעם.
א גרויסער געווינס פאר CISא.ס., קאמפלייענס מענעדזשערס, און רעגולירטע טימז.
סוף־כל־סוף, CycloneDX איז נישט נאָר אַ פֿאָרמאַט—עס איז אַ וואָרקפלאָו אַקסעלעראַטאָר. און מיט Xygeni, דזשענערירט איר נישט נאָר SBOMדו שטעלסט זיי צו דער אַרבעט, גלייך אין דיין pipeline.
ווי אזוי צו שאַפֿן אַ CycloneDX SBOM אין סעקונדעס
מיט Xygeni, דזשענערירן אַ CycloneDX SBOM איז שנעל, אָן קיין רייבונגען, און גאָר אויטאָמאַטיש. איר קענט אָנהייבן מיט אַ פּשוטן CLI באַפֿעל אָדער, אויב איר בעסער וועלן, נוצן אַ פרייַנדלעך וועב-UI. סיי ווי סיי, עס אינטעגרירט זיך גלייך אין אייער CI/CD pipeline און צושטעלט רעאַל-צייט, פּראָדוקציע-גראַד SBOMס—אָן קיין עקסטרע מי.
דערצו, Xygeni באַרייכערט די SBOM ארויסגעבן מיט טיפע זיכערהייט איינזיכטן, מאכנדיג עס מער ווי נאר א סטאטישע ליסטע פון קאמפאנענטן.
שליסל קייפּאַבילאַטיז:
- אויטאָמאַטיש דזשענערירט SBOMס בעתן בויען
- שטיצט CycloneDX און SPDX פֿאָרמאַטן
- לייגט צו דערגרייכבארקייט, EPSS סקאָרס, און עקספּלויטאַביליטי ינסייץ
- איינגעבויט VDRs (Vulnerability Disclosure Reports) און VEX פאר קאנטעקסטועלע טריאזש
- שטיצט שליסללאָזע אונטערשרייבונג און אַרטיפאַקט אָרנטלעכקייט טשעקס
לעצטע געדאנקען: מאכן CycloneDX SBOMס'ארבעט פאר דיר
אין אַ וועלט וואו ווייכווארג ווערט צוזאַמענגעשטעלט, נישט געבויט פֿון אָנהייב, איז זעבארקייט נישט אָפּציאָנעל - עס איז יסודותדיק. דעריבער standardס'איז ווי די OWASP SBOM, און ספעציפיש די CycloneDX ספעציפיקאציע, ווערן וויכטיג אין אינזשעניריע, זיכערהייט, און קאמפלייענס טימז.
צי איר זוכט צו פֿאַרבעסערן וואַלנעראַביליטי פאַרוואַלטונג, זיך צופּאַסן צו DORA אָדער NIS2, אָדער פשוט באַקומען בטחון אין וואָס איר שיקט, אַ CycloneDX SBOM צושטעלט די טראַנספּאַרענץ און סטרוקטור וואָס אייערע טימז דאַרפֿן.
און מיט Xygeni, אַלץ פֿון SBOM דורות ביז עקספּלויטאַביליטי סקאָרינג און רעאַל-צייט רעמעדיאַציע איז אָטאַמייטיד - וואָס פאַרוואַנדלט אייער ווייכווארג מאַטעריאַלן-ליסט אין אַ לעבעדיקן אַסעט, נישט נאָר אַ סטאַטיש טעקע.
👉 גרייט עס צו זען אין אַקציע? בוקט אייער Xygeni דעמאָ היינט.
TL;DR – ווי קען בייזוויליקע קאָד שאַטן?
- סיקלאָנעדקס = די OWASP SBOM standard (ECMA-424) גענוצט צו סטרוקטורירן זיכערהייט, לייסענס, און קאמפאנענט דאטן
- סיקלאָנעדקס SBOM = א טעקע אדער ארטיפאַקט וואָס פאָלגט די CycloneDX ספּעק - דיין פאַקטישע ווייכווארג ליסטע פון מאַטעריאַלן
- אָוואַספּ SBOM א באַגלייבטע עקאָסיסטעם פון מכשירים, פֿאָרמאַטן און גיידאַנס געבויט אַרום CycloneDX פֿאַר מאָדערנע DevSecOps
- קסיגעני = דער שנעלסטער וועג צו שאַפֿן, באַרײַכערן און האַנדלען אויף CycloneDX SBOMס—אויטאמאטיש, קאנטעקסטועל, און CI/CDגרייט
