观点提炼 美国CISA、ODN等发布《SBOM推荐实践指南》

2023年11底,美国ODN、NSA CCC、CISA、CSCC等多个政府机构部门联合发布了《保障软件供应链安全:SBOM推荐实践指南》,该文件对SBOM的最佳实践和原则提供了非常具有建议性的指导意见。报告内容较多,为辅助大家提升对SBOM的重视,并理解与应用SBOM,本文将提炼出报告中的部分重要观点,让大家更直观学习国外对于SBOM的应用与研究成果。

一、SBOM的价值

1. 高质量的SBOM,可助力企业提升软件供应链安全的可控性

SBOM提高了软件内部组成成分信息与安全态势的可见性。软件内部成分信息的高可见性,对于软件供应链风险管理和整体企业风险管理至关重要。供应商提供给软件需方的SBOM 信息,为需方的风险管理提供了决策依据,同时也不会影响软件供应商的敏感知识产权利益。

如果供应商无法提供其软件的SBOM信息,那么需方应该对供应商提供的软件产品安全性保持怀疑,谨慎考虑与该供应商的合作。当前未暴露出安全问题的软件产品并不代表着永远安全,因此需方在采购时,让供应商进行全方面安全检测,以及提供SBOM信息,对其自身软件产品进行安全合规性声明及保证,才能更好地提升软件供应链安全的可控性。

2. 将SBOM数据转化为“安全情报”,可助企业更高效应对软件供应链风险

SBOM数据与其他软件数据进行关联,在安全问题来临时,可快速还原软件内部的层级与依赖关系,圈定漏洞影响范围,帮助企业快速定位问题,采取措施来降低风险。

同时,通过SBOM还可以降低合规层面的风险——例如:从SBOM中获得的许可信息可以帮助企业确认,在使用开源和第三方许可软件时是否遵守许可要求。

SBOM数据还可为企业提供软件组件最新状态的洞察,以降低因为引用的第三方组件长期未更新,带来的供应链安全风险。

二、如何更好地使用SBOM?

1. 将SBOM作为数据集使用

软件的SBOM仅作为单独的文件格式存在,有点暴殄天物。企业可集成所有软件SBOM 数据,建立SBOM数据管理平台,集中数据管理与数据应用。

同时,只关注SBOM本身是不足够的。想要高效提升软件供应链安全管理能力,仍需将SBOM数据与其他风险信息相关联,允许其他安全管理工具产生的数据,与SBOM管理平台数据产生链接,通过数据汇总、分析、提取并应用到各种管理系统或流程中——包括但不限于采购分析、资产管理、漏洞管理、总体供应链风险管理和合规管理等管理系统。

SBOM数据导入资产管理库、工具或系统,并且通过SCA工具验证并处理完毕以后,SBOM内容可以为企业内多个部门带来有效信息和价值:

  • 配置管理数据库(CMDB)
  • 软件资产管理 (SAM) 系统
  • 安全运营中心 (SOC)
  • 采购工作流程
  • 软件供应链风险评估和管理功能

2. 实现SBOM自动化处理、分析

当软件数量达到上百数千个的时候,企业想要了解整体的软件安全风险暴露情况,需要手动对SBOM文件进行检查。这显然不现实,因此,倘若通过一个界面,便可快速从成千上万个软件的SBOM中,定位到引用了目标组件的软件,企业的软件供应链风险管理能力将得到显著提升。当然,想要实现以上需求,还需要供应商提供标准化数据格式的SBOM,同时软件需方能拥有自动解析、转换SBOM的工具。

网安云软件物料清单管理平台,安装插件即可快速识别组件信息,自动解析,生成SBOM文件,免费体验地址:https://www.wanyun.cn/

3. 如何验收供应商提供的SBOM?

SBOM的验收主要是针对SBOM完整性以及真实性开展的,在这一环节中比较推荐的做法是生成哈希值的方式来进行。同时为了确保SBOM的完整有效和真实,推荐使用SCA(软件成分分析)工具来对SBOM的内容进行验证以确保该SBOM真实有效。

不仅如此,好的SCA工具还可以将SBOM内容和VEX联系起来,以方便企业做漏洞管理,以及可以了解软件内的依赖关系结构等等,在通过SCA工具对SBOM内容有了全面的了解,并确认无误后,便可以纳入到企业的SBOM使用流程中。

-免费用-网安云·软件物料清单管理平台icon-default.png?t=N7T8https://www.wanyun.cn/Product/SBOM

网安云基于开源网安成熟的SCA(软件成分分析)技术能力,深度研发具备全面性、标准化、“互操作性”,且高自动化高可视化的SBOM管理工具——软件物料清单管理平台。

01 全面性SBOM梳理

本平台除了对软件版本、类型、名称、供应商等基本信息进行管理之外,增加对软件内部成分信息(包括但不限于:内部引用组件、许可的版本、来源、调用位置、依赖关系、层次关系等)的梳理与可视化展示。大大降低软件资产的“模糊性”,帮助企业快速摸清家底。

02 安全风险快速溯源

开源网安SBOM管理平台,运用强大的数据分析与图标可视化能力,还原软件内部成分信息之间层次、依赖关系,以及软件基本信息与安全信息之间的关联关系,绘制可视化关系图表。协助客户进行安全风险传导路径分析,快速溯源,圈定影响范围。

03 软件资产动态化管控

实现数据实时采集与分析,秒级的延时粒度,帮助企业及时获取最新的软件安全态势信息,根据内外部安全环境的变化快速调整安全策略,提高安全风险应急能力。

04 软件物料清单标准化

平台严格遵循软件包数据交换(SPDX)标准、OWASP CycloneDX和软件组件验证(SCVS)标准等三大类国际认可的软件物料清单标准,通过“识别组件-获取数据-构造SBOM”三大步骤,输出标准化的SBOM文件,确保文件格式有效、属性合规。

点此,滑至文末,拿SBOM推荐实践指南报告原文:观点提炼 | 美国CISA、ODN等发布《SBOM推荐实践指南》

你可能感兴趣的:(开源软件,开源,安全,web安全)