Bu araç ne yapar?
- SBOM tarayıcı: Lock dosyalarından (npm, yarn, pnpm, pip, Poetry, Cargo, Go, Maven, Composer) ve Yocto ya da Buildroot manifestlerinden bileşen listesini çıkarır.
- SBOM okuyucu: mevcut CycloneDX ya da SPDX JSON dosyanızı (örneğin
bom.json,*.cdx.json,manifest.spdx.jsonya da*.spdx.json) açar, bileşenlerini ve bilinen zafiyetlerini okunur bir tabloda gösterir. - SBOM kontrol aracı: Her bileşeni adı ve sürümüyle OSV.dev zafiyet veritabanında kontrol eder; ciddiyete göre sıralar.
- Dışa aktarma: Sonucu CycloneDX 1.7, SPDX 2.3 ya da CSV olarak indirirsiniz.
Dosyanız bilgisayarınızdan çıkmaz. Dosyalar tarayıcınızda okunur. Zafiyet kontrolü açıksa yalnızca paket adı, sürüm ve ekosistem OSV.dev'e sorulur; kontrolü kapatarak tamamen çevrimdışı tarama yapabilirsiniz.
SBOM nedir?
SBOM (Software Bill of Materials, yazılım malzeme listesi), bir yazılımın ya da firmware'in içindeki bileşenlerin makinece okunabilir listesidir. Bir ürünün içindeki açık kaynak kütüphaneleri, işletim sistemi paketlerini, üçüncü taraf bileşenleri ve bunların sürümlerini tek bir dosyada toplar.
Tipik bir SBOM kaydında şunlar bulunur:
- Bileşen adı ve sürümü
- Tedarikçi ya da geliştirici
- Tekil tanımlayıcılar: PURL ve CPE
- Dosya özetleri (hash), lisans bilgisi
- Bileşenler arası bağımlılık ilişkileri
Yeni bir zafiyet (CVE) yayımlandığında, güncel SBOM'u olan bir ekip hangi ürünlerin ve firmware sürümlerinin etkilendiğini dakikalar içinde görebilir. SBOM'u olmayan ekip için aynı soru günler süren bir araştırmaya dönüşür.
Firmware örneği ve CRA ayrıntılarıyla daha uzun bir anlatım için SBOM nedir? rehberine bakın.
AB mevzuatında SBOM: CRA ne istiyor?
SBOM'u yasal bir yükümlülük haline getiren AB düzenlemesi Siber Dayanıklılık Yasası'dır, yani (AB) 2024/2847 sayılı Yönetmelik. AB pazarına arz edilen dijital unsurlu ürünlere 11 Aralık 2027'den itibaren uygulanır; genel bakış için CRA nedir?
CRA Ek I Bölüm II(1), üreticilerin ürünlerindeki zafiyetleri ve bileşenleri tanımlayıp belgelemesini ister. Buna yaygın kullanılan ve makinece okunabilir bir formatta, en azından üst düzey bağımlılıkları kapsayan bir SBOM hazırlamak da dahildir.
- SBOM, teknik dokümantasyonun bir parçasıdır (Ek VII). Kamuya yayımlanması zorunlu değildir.
- Piyasa gözetim otoritesi gerekçeli bir talepte bulunursa sunulur.
- Belirli bir format zorunlu değildir; CycloneDX ve SPDX yaygın kullanılan iki formattır.
- Her firmware sürümü için güncel tutulmalıdır; destek süresi boyunca bileşenler yeni zafiyetlere karşı izlenir.
Madde 13, Komisyon'a SBOM'un formatını ve unsurlarını uygulama tüzüğüyle belirleme yetkisi verir; böyle bir tüzük olup olmadığını EUR-Lex'ten kontrol edin. Üretici SBOM'u kullanıcılara açmayı seçerse, kullanıcı bilgilerinde (Ek II) SBOM'a nereden erişilebileceği belirtilir.
SBOM tek başına CRA uyumu değildir. Zafiyetlerin giderilmesi, güvenli güncelleme, Madde 14 bildirimleri ve teknik dosya da gerekir. Genel bakış için CRA rehberi.
CycloneDX mi, SPDX mi?
| Özellik | CycloneDX | SPDX |
|---|---|---|
| Geliştiren | OWASP | Linux Foundation |
| Standart | Ecma International ECMA-424 | ISO/IEC 5962 |
| Odak | Güvenlik: zafiyet, VEX ve servis bilgisi | Lisans uyumu ve dosya düzeyinde ayrıntı |
| Bu tarayıcının çıktısı | CycloneDX 1.7 JSON | SPDX 2.3 JSON |
İkisi de CRA için yeterli kabul edilen yaygın formatlardır. Seçimi müşterilerinizin ve araç zincirinizin beklentisine göre yapın; bu tarayıcı ikisini de üretir.
Gömülü sistemlerde SBOM: Yocto, Buildroot ve binary
- Yocto: Derleme sonunda oluşan imaj manifesti (
<imaj>.manifest) velicense.manifest, imajdaki paketleri ve sürümleri listeler.create-spdxsınıfı ayrıca SPDX çıktısı üretir. - Buildroot:
make legal-infokomutu, paketleri ve sürümleri içerenlegal-info/manifest.csvdosyasını oluşturur. - Paket yöneticisi olmayan C/C++ projeleri ve hazır binary'ler: Kaynak manifesti olmadığı için bileşenler firmware imajının kendisinden tanınmalıdır. Tanınamayan bileşenler varsa SBOM eksik olarak işaretlenmelidir.
Yukarıdaki tarayıcı Yocto manifestlerini, Buildroot manifest.csv dosyasını, kilit dosyalarını ve mevcut CycloneDX ya da SPDX dosyalarını okur. Firmware imajının kendisini analiz etmek platformumuzun işidir.
SBOM'dan sonra: zafiyet eşleştirme ve VEX
SBOM'daki her bileşen OSV ve NVD gibi veritabanlarıyla eşleştirildiğinde ham bir zafiyet listesi çıkar. Bu liste çoğu zaman uzundur; CISA KEV ve EPSS gibi istismar sinyalleri öncelik sırasını belirlemeye yardım eder.
Bir zafiyet bileşende bulunsa bile üründe istismar edilebilir olmayabilir: ilgili kod derlenmemiş ya da kullanılmıyor olabilir. Bu kararı müşterilerinize ve otoritelere bildirmenin standart yolu VEX belgesidir; CSAF ve OpenVEX en yaygın iki formattır.
SBOM hakkında sık sorulanlar
Elimdeki bir SBOM dosyasını okuyup kontrol edebilir miyim?
Evet. CycloneDX ya da SPDX JSON dosyanızı bırakın; araç bileşenleri listeler ve her birini OSV.dev'deki bilinen zafiyetlere karşı kontrol eder. CycloneDX ve SPDX 2.x JSON dosyalarını adından bağımsız okur; CycloneDX XML (bom.xml) ve SPDX tag-value dosyaları şimdilik desteklenmiyor.
CycloneDX JSON dosyası nasıl görüntülenir?
Dosyayı (örneğin bom.json ya da sbom.cdx.json) bu sayfanın üstündeki alana bırakın. Görüntüleyici, iç içe olanlar dahil bütün bileşenleri sürümü, ekosistemi ve geldiği dosyayla listeler; listede arama yapabilir ve yalnız zafiyetli bileşenleri gösterebilirsiniz. CycloneDX 1.x JSON desteklenir; CycloneDX XML şimdilik desteklenmiyor.
Görüntüleyici neleri gösterir, sonucu indirebilir miyim?
Her bileşen için adı, sürümü, ekosistemi ve kaynak dosyası; zafiyet kontrolü açıksa OSV.dev'deki bilinen zafiyetler, önem dereceleri ve düzeltildikleri sürüm. Sonucu CycloneDX 1.7 JSON (bulunan zafiyetlerle birlikte), SPDX 2.3 JSON ya da CSV olarak indirebilirsiniz.
manifest.spdx.json dosyası nasıl açılır?
Dosyayı bu sayfanın üstündeki alana bırakın ya da "bilgisayarınızdan seçin" ile seçin. Araç, SPDX 2.x JSON dosyasındaki paketleri listeler ve zafiyet kontrolü açıksa OSV.dev'de kontrol eder. Dosya tarayıcınızda okunur, bilgisayarınızdan çıkmaz.
Kayıt ya da ücret gerekiyor mu?
Hayır. SBOM tarayıcı ücretsizdir ve kayıt gerektirmez.
SBOM'u müşterilerime yayımlamak zorunda mıyım?
Hayır. CRA'da SBOM teknik dokümantasyonun parçasıdır; piyasa gözetim otoritesi talep ederse sunulur. Müşterilerinizle paylaşmak sizin tercihinizdir.
AB mevzuatı SBOM'u zorunlu kılıyor mu?
Evet, Siber Dayanıklılık Yasası ((AB) 2024/2847) kapsamındaki dijital unsurlu ürünler için. Ek I Bölüm II(1), en azından üst düzey bağımlılıkları kapsayan makinece okunabilir bir SBOM ister; SBOM teknik dokümantasyonda tutulur. Yükümlülük 11 Aralık 2027'den itibaren uygulanır.
CRA hangi SBOM formatını istiyor?
Belirli bir format şart koşmuyor; yaygın kullanılan ve makinece okunabilir olması yeterli. CycloneDX ve SPDX bu şartı karşılar.
SBOM ne sıklıkla güncellenmeli?
Her firmware ya da yazılım sürümü için. Bileşenler destek süresi boyunca yeni zafiyetlere karşı izlenmeli.
Bu tarayıcı firmware imajı okuyabiliyor mu?
Hayır. Web tarayıcı kilit dosyalarını, Yocto ve Buildroot manifestlerini ve mevcut SBOM dosyalarını okur. Firmware imajı analizi platformumuzda, kurumsal pilot kapsamında yapılıyor.
SBOM'umu çıkarmak için dosyalarımı sizin sunucunuza mı yüklüyorum?
Hayır. Dosyalar tarayıcınızda okunur. Zafiyet kontrolü açıksa yalnızca paket adı, sürüm ve ekosistem OSV.dev'e sorulur.