2023-03-20-中国信通院-软件物料清单实践指南（2023）_65页_2mb

软件物料清单实践指南总结

核心内容

软件物料清单（SBOM）是一种用于提高软件透明度的正式规范且机器可读的组件清单，包含依赖关系、层次结构和相关属性。SBOM在软件开发、采购、维护及安全管理中具有重要价值，能够降低网络安全、许可及合规风险，提高信任度，并支持漏洞管理和供应链透明度。

主要观点

• SBOM的诞生背景：SBOM最初源于上世纪，应用于传统行业，后于2013年引入现代软件开发领域，近年来发展迅速。
• SBOM的价值：它提升了软件的透明度，有助于识别易受攻击组件，减少开发和维护成本，支持漏洞管理、许可管理及高可信流程。
• SBOM的组成要素：包括基线属性（如组件名称、版本、哈希值、唯一标识符、关系）和附加属性（如组件生命周期、许可信息、安全状态等）。
• SBOM的格式与工具：目前主流格式有SPDX、CycloneDX和SWID，各有特点，支持不同的用例和场景。
• SBOM的生命周期：分为生成、交付、使用和验证四个阶段，各阶段需考虑不同的责任分配和流程要求。
• SBOM的常见问答：强调SBOM不是必须公开源代码，不会暴露知识产权，反而有助于识别和避免许可证违规行为。

关键信息

1. SBOM的定义

• SBOM是正式规范且机器可读的软件组件清单。
• 它包含组件的依赖关系、层次关系和相关信息。
• 组件可以是产品、库、文件或集合，由供应商或作者定义。
• 供应商是软件发布者或合同约定的提供者，根供应商是指没有上游组件的供应商。
• 作者是SBOM的创建者，不一定是供应商。
• 消费者是获取第三方软件的实体，包括商业和非商业实体。

2. SBOM的组成要素

• 基线属性：包括作者、时间戳、供应商、组件名称、版本、哈希值、唯一标识符和关系。
• 自动化支持：SBOM的生成和使用应尽可能自动化，以提高效率和可扩展性。
• 实践流程：
  • 频率：每当组件更新时，需生成新的SBOM。
  • 深度：应包含所有主要组件及其传递依赖项。
  • 已知的未知：需明确区分依赖项是否完整。
  • 分发与交付：SBOM应及时分发，并设置适当的访问权限。
  • 容错空间：应允许遗漏和错误，以鼓励数据更新。

3. SBOM的格式与工具

• SPDX：国际标准，支持许可证、漏洞映射和组件信息。
• CycloneDX：轻量级格式，适用于现代软件的网络安全风险管理。
• SWID：用于标识软件产品，支持物联网和硬件组件。

4. SBOM的生命周期

• 生成阶段：包括构建前、构建时和构建后，不同阶段的生成方法和特点不同。
• 交付与共享：可通过多种方式，如与源代码/二进制文件一起发布、制造商网站、第三方平台等。
• 使用阶段：用于漏洞监控、许可合规、安全策略实施等。
• 验证阶段：通过哈希值、签名和格式验证，确保SBOM的完整性和真实性。

5. SBOM的常见问答

• SBOM是否暴露知识产权：不，SBOM仅包含组件清单，不涉及源代码或专利。
• SBOM是否必须公开：不是，作者可以自行决定是否共享。
• SBOM是否影响许可证成本：不会，反而有助于识别和解决潜在的许可证问题。

6. 行业实践

• 医疗行业：自2018年起，开始试点SBOM应用，2022年FDA发布草案，推荐使用SBOM。
• 汽车行业：2020年美国交通部建议使用SBOM维护电子控制单元，2021年启动相关项目。
• 能源行业：2021年起，启动SBOM概念验证项目，探索其在该领域的应用。

7. 发展趋势

• 标准化：SBOM正逐步被纳入国际标准，如ISO/IEC 5962:2021。
• 自动化：SBOM生成和使用将更加自动化，提高效率和准确性。
• 跨行业应用：SBOM不仅用于软件，还与硬件、物联网等结合，支持更全面的透明度。
• 政策推动：政府和行业组织正在推动SBOM的使用，将其纳入安全合规流程。
• 增强功能：未来SBOM将支持更丰富的功能，如漏洞声明、组件生命周期跟踪等。

术语体系

• 供应商：发布软件或合同约定的提供者。
• 作者：SBOM的创建者，不一定是供应商。
• 消费者：使用第三方软件的实体。
• 基线属性：用于识别组件的基本信息。
• 未确定属性：在某些情况下，SBOM可能缺少某些信息，需明确区分。
• 关系断言：包括“已知”、“部分”、“无”、“未知”等类型，用于描述组件之间的依赖关系。

未来展望

• 更广泛的采用：SBOM正被更多行业采纳，包括汽车、医疗和能源。
• 技术融合：与OpenC2、MUD等标准结合，实现更智能的网络安全管理。
• 政策支持：越来越多的政策要求SBOM作为软件安全的一部分。
• 标准化与互操作性：SBOM格式正逐步统一，提高跨平台和跨组织的互操作性。

结语

SBOM作为一种新型工具，正在改变软件供应链管理方式，提高透明度和安全性。随着技术发展和行业实践的丰富，SBOM将在未来的软件生态中扮演更加重要的角色。