Was ist eine SBOM?

Viele Häuser erzeugen inzwischen eine SBOM, weil ein Kunde sie im Vertrag verlangt, legen sie ab und schauen nie wieder hinein. Der Nutzen entsteht erst, wenn die Listen aller ausgelieferten Stände durchsuchbar an einer Stelle liegen. Dann ist die Frage, welche Installation beim Kunden eine betroffene Bibliothek enthält, eine Abfrage und keine Rundmail an die Entwicklung.

Wichtig ist der Zeitpunkt der Erzeugung. Eine Liste, die jemand nachträglich aus der Dokumentation zusammenschreibt, übersieht die Abhängigkeiten der Abhängigkeiten, und genau dort sitzen die meisten Funde. Erzeugt wird sie deshalb aus dem Build heraus, für jedes Artefakt, und sie wird zusammen mit dem Artefakt versioniert abgelegt. Ohne diese Zuordnung weißt du zwar, was in der aktuellen Entwicklung steckt, aber nicht, was beim Kunden läuft.

Und die Liste allein erzeugt Lärm. Sobald du sie gegen eine Schwachstellendatenbank hältst, meldet jedes größere Projekt eine lange Reihe von Treffern, von denen viele im eigenen Einsatz gar nicht erreichbar sind. Dafür gibt es VEX, eine ergänzende Aussage des Herstellers, ob eine bekannte Schwachstelle das Produkt tatsächlich betrifft. Ohne diese Einordnung erstickt das Team in Meldungen, die es nicht bewerten kann.