Hvad er SBOM (Software Bill of Materials)?
En Software Bill of Materials (SBOM) er en detaljeret oversigt over komponenter, der udgør en software, inklusive tredjeparts- og open-source-biblioteker samt rammeværksversioner. Det er som en ingrediensliste inde i applikationen.
Ved at holde styr på hver komponent inde i applikationen kan udviklingsteamet hurtigt opdage, når nye sårbarheder opdages.
Hvorfor SBOM er vigtigt i cybersikkerhed
Moderne applikationer bygges ved at kombinere hundrede eller tusinder af tredjepartsafhængigheder og open-source-biblioteker for at accelerere udviklingen. Hvis en af disse har sårbarheder, vil det sætte hele applikationen i fare.
En SBOM hjælper udviklingsteamet med at:
- Identificere sårbarheder tidligere ved at kortlægge den berørte komponent
- Forbedre overholdelse af standarder som NIST, ISO eller Executive Order 14028 i USA
- Forbedre forsyningskædesikkerhed ved at sikre gennemsigtighed i softwarekompositionen
- Opbygge tillid med kunder og partnere ved at vise, hvilke komponenter der er inkluderet
Nøgleelementer i en SBOM
En ordentlig SBOM inkluderer normalt:
- Komponentnavn (f.eks.
lodash) - Version (f.eks. 4.17.21)
- Licensinformation (open source eller proprietær)
- Leverandør (projekt eller leverandør, der vedligeholder det)
- Relationer (hvordan komponenter afhænger af hinanden)
Eksempel i praksis: Apache Struts-bruddet (Equifax, 2017)
I 2017 udnyttede angribere en kritisk sårbarhed i Apache Struts-rammeværket (CVE-2017-5638), som blev brugt i Equifax’s (amerikansk multinationalt forbrugerkreditrapporteringsbureau) webapplikationer. Patchen til denne sårbarhed var tilgængelig, men Equifax undlod at anvende den i tide.
Fordi de manglede synlighed i alle afhængigheder og biblioteker inde i deres applikation, gik fejlen i Struts-biblioteket ubemærket hen, hvilket førte til et af de største databrud i historien, hvor mere end 147 millioner personlige data blev eksponeret.
Hvis en SBOM havde været på plads, kunne Equifax hurtigt have:
- Identificeret, at deres applikationer brugte den sårbare version af Apache Struts
- Prioriteret patching, så snart sårbarheden blev offentliggjort
- Reduceret den tid, angribere havde til at udnytte svagheden
Denne sag viser os, hvordan en SBOM spiller en kritisk rolle i at holde softwarekomponenter sikre, hvilket hjælper organisationer med at handle hurtigere på nyligt afslørede sårbarheder.
Relaterede Termer
- SCA (Software Composition Analysis)
- Forsyningskædeangreb
- Open Source Sikkerhed
- Sårbarhedsstyring