软件物料清单实践指南（2023）-中国信通院_65页_2mb

软件物料清单（SBOM）实践指南总结

一、总体介绍

软件物料清单（SBOM）起源于上世纪，最初用于提高汽车、食品、传统制造业等行业的透明度，2013年起逐步应用于软件开发领域。2018年，美国国家电信和信息管理局（NTIA）发起多部门利益相关者会议，旨在建立通用框架用于描述软件组件。当前SBOM的实践已形成三大主要方向：证明其成功应用、自动化生成与使用、定义规范并推动行业采用。行业实践涉及医疗、汽车、能源等领域，相关标准如SPDX、CycloneDX、SWID逐步完善。

二、价值与用例

SBOM的核心价值在于提升软件透明度与安全性。其应用场景包括：

1. 漏洞管理：通过VEX（漏洞可利用性声明）快速识别受影响组件，辅助供应商修复漏洞并指导消费者采取缓解措施。
2. 许可证合规：量化并管理组件的许可证限制，支持软件使用及再分发的合规性分析。
3. 降低风险与成本：减少因复杂依赖关系导致的维护成本，协助识别可疑软件组件，增强供应链信任度。
4. 高可信流程：通过组件谱系分析、依赖关系映射，满足监管链和安全审计需求。

SBOM的潜在风险包括：可能暴露知识产权（IP）或商业机密，但实际应用中可通过保密协议和许可条款控制信息共享范围。

三、组成要素

SBOM由数据字段、自动化支持和实践流程构成。

1. 数据字段：包含基线属性（如作者、供应商、组件名称、版本、唯一标识符、依赖关系）和其他附加属性（如许可证、技术支持期限）。
2. 自动化支持：依赖机器可读格式（如SPDX、CycloneDX、SWID）实现跨生态系统的数据集成，支持漏洞检测、漏洞映射和安全分析。
3. 实践流程：需明确SBOM的生成频率（如版本更新时）、依赖深度（全量/递归依赖）及“已知的未知”处理方式，同时需制定访问控制和容错机制。

四、格式与工具

主流SBOM格式包括：

• SPDX：支持许可证表达式与漏洞映射，已通过ISO认证。
• CycloneDX：侧重网络安全风险管理，兼容硬件组件描述，适用于物联网（IoT）场景。
• SWID标签：用于标识软件版本，区分商业与开源软件的依赖关系。
  工具方面，SPDX支持Maven构建环境，CycloneDX集成OWASP组件分析，SWID通过哈希值验证完整性。SBOM的格式需结合具体用例选择，并可扩展支持不同场景需求。

五、生命周期

SBOM的生命周期分为四个阶段：

1. 生成：根据需求数量和场景（如源码级、构建时或构建后生成）确定生成方式与内容范围（含直接/传递依赖）。
2. 交付：通过URL、清单文件、发布/订阅系统等共享方式分发，需明确访问权限和分发策略。
3. 使用：集成至企业流程（采购、合规、资产管理），用于持续漏洞检测和风险决策。
4. 验证：确保数据完整性与真实性，需通过签名、软件实体解析、依赖关系分析等方式实现。

六、常见问答

• SBOM是否强制公开？无需强制，供应商可根据需求选择共享方式。
• 如何处理未公开的组件信息？允许标注“无断言”或“无值”，明确区分已知与未知属性。
• SBOM能否替代源代码公开？不替代，仅反映组件引用，不涉及代码本身。
• 是否增加许可证违规风险？反而有助于识别潜在违规行为，降低风险。

七、知识产权与保密

SBOM本身具有知识产权属性，需通过协议、保密条款（如CC0许可证）规范其传播范围。制造商需在不同环境下平衡透明度与保密需求，例如医疗行业需结合MDS2框架规范披露内容。

八、选择与决策

SBOM的选用需考虑三个维度：

1. 回退与增强：根据行业需求选择基本或扩展功能（如漏洞声明、授权管理）。
2. 格式兼容性：支持SPDX、CycloneDX、SWID等标准，确保互操作性。
3. 深度与灵活性：匹配行业场景（如医疗依赖复杂谱系分析），并逐步完善数据规范。

九、行业实践

• 医疗行业：FDA自2022年起推荐SBOM用于医疗设备网络安全管理，支持漏洞定位与供应链追溯。
• 汽车行业：NTIA与NHTSA推动SBOM在电子控制单元（ECU）中的应用，Linux基金会亦参与其标准化。
• 能源行业：通过“概念验证”项目探索SBOM在安全策略合规中的作用，如实时审计依赖项。

十、发展趋势

1. 标准化：国际标准（如ISO）推动SBOM成为通用技术，强化与漏洞数据库（如CVE/NVD）的关联。
2. 自动化与扩展性：依赖工具链（如SCA工具）实现自动化生成，同时解决现有格式在漏洞追踪、权限管理等场景的局限性。
3. 与硬件整合：结合硬件信任根（TRUSTeE）及MUD（制造商使用描述符）机制，提升端到端安全审计能力。
4. 法律与政策支持：多个国家和行业组织正推动SBOM纳入法规框架（如NIST安全开发框架），通过政策约束促进其广泛采用。

SBOM的未来方向包括：更丰富的数据元素、增强与物联网（IoT）场景的适配性，以及通过统一标准支持跨行业实践。