Dependency inventory / SBOM
Машинно четим списък на components, versions и dependency relationships.
Какво е
Машинно четим списък на components, versions и dependency relationships.
Как работи
Позволява бързо да разберете дали дадена vulnerable/malicious component съществува в продукта.
SBOM в реален incident
Излиза критична уязвимост в библиотека. Първият въпрос не е „колко е CVSS?“, а „къде я използваме?“.
Без inventory започва ръчно търсене по repos и builds. С качествен SBOM можете да стесните засегнатите products/versions много по-бързо.
Какво SBOM не доказва
- че component-ът е безопасен;
- че build-ът е trustworthy;
- че binary-то наистина съответства на декларацията;
- че уязвимостта е exploitable във вашия context.
Как да проверим
Вземете произволен production artifact и опитайте да получите dependency tree, versions, hashes и build provenance без ръчно археологическо разследване.
Практическа имплементация
- Generate per build.
- Store with artifact metadata.
- Continuous vulnerability correlation.
- Include transitive dependencies.
Какво НЕ решава
SBOM е inventory, не shield. Не доказва, че component е безопасен.
Предпазва най-силно от
- AI/Model Supply-Chain Compromise · AI, ML и LLM атаки
- Compromised Base Image · Software supply chain, DevOps и CI/CD
- Dependency Confusion · Software supply chain, DevOps и CI/CD
- Malicious Open-Source Package · Software supply chain, DevOps и CI/CD
- Software Supply-Chain Attack · Software supply chain, DevOps и CI/CD
- Vulnerable/Outdated Dependency Exploitation · Software supply chain, DevOps и CI/CD
Кой го търси
11 отворени обяви искат това умение. Затворените обяви не се броят — това е търсенето сега.