Hvad er SBOM (Software Bill of Materials)?

En Software Bill of Materials (SBOM) er en detaljeret inventarliste over komponenter, der udgør en software, inklusive tredjeparts- og open-source-biblioteker samt rammeversioner. Det er som en ingrediensliste inde i applikationen.

Ved at holde styr på hver komponent inde i applikationen kan udviklingsteamet hurtigt opdage, når nye sårbarheder opdages.

Hvorfor SBOM er vigtig i cybersikkerhed

Moderne applikationer bygges ved at kombinere hundrede eller tusinder af tredjepartsafhængigheder og open-source-biblioteker for at accelerere udviklingen. Hvis en af disse har sårbarheder, vil det sætte hele applikationen i fare.

En SBOM hjælper udviklingsteamet med at:

• Identificere sårbarheder tidligere ved at kortlægge berørte komponenter
• Forbedre overholdelse af standarder som NIST, ISO eller Executive Order 14028 i USA
• Forbedre forsyningskædesikkerhed ved at sikre gennemsigtighed i softwarekompositionen
• Opbygge tillid med kunder og partnere ved at vise, hvilke komponenter der er inkluderet

Nøgleelementer i en SBOM

En korrekt SBOM inkluderer normalt:

• Komponentnavn (f.eks. lodash)
• Version (f.eks. 4.17.21)
• Licensinformation (open source eller proprietær)
• Leverandør (projekt eller leverandør, der vedligeholder det)
• Relationer (hvordan komponenter afhænger af hinanden)

Eksempel i praksis: Apache Struts-bruddet (Equifax, 2017)

I 2017 udnyttede angribere en kritisk sårbarhed i Apache Struts-rammeværket (CVE-2017-5638), som blev brugt i Equifax’s (amerikansk multinationalt forbrugerkreditrapporteringsbureau) webapplikationer. Patchen til denne sårbarhed var tilgængelig, men Equifax undlod at anvende den i tide.

Fordi de manglede synlighed i alle afhængigheder og biblioteker inde i deres applikation, gik fejlen i Struts-biblioteket ubemærket hen, hvilket førte til et af de største databrud i historien, hvor mere end 147 millioner personlige data blev eksponeret.

Hvis en SBOM havde været på plads, kunne Equifax hurtigt have:

• Identificeret, at deres applikationer brugte den sårbare version af Apache Struts
• Prioriteret patching, så snart sårbarheden blev offentliggjort
• Reduceret den tid, angribere havde til at udnytte svagheden

Denne sag viser, hvor kritisk en SBOM er for at holde softwarekomponenter sikre, og hjælper organisationer med at handle hurtigere på nyligt offentliggjorte sårbarheder

Relaterede Termer

• SCA (Software Composition Analysis)
• Software Supply Chain Security
• Open Source Audit
• Vulnerability Management