Apa Itu SBOM (Software Bill of Materials)?
Software Bill of Materials (SBOM) adalah inventaris detail dari komponen yang membentuk sebuah perangkat lunak, termasuk pustaka pihak ketiga dan sumber terbuka, serta versi kerangka kerja. Ini seperti daftar bahan dalam aplikasi.
Dengan melacak setiap komponen dalam aplikasi, tim pengembang dapat dengan cepat mendeteksi ketika kerentanan baru ditemukan.
Mengapa SBOM Penting dalam Keamanan Siber
Aplikasi modern dibangun dengan menggabungkan ratusan atau ribuan ketergantungan pihak ketiga dan pustaka sumber terbuka untuk mempercepat pengembangan. Jika salah satu dari mereka memiliki kerentanan, itu akan menempatkan seluruh aplikasi dalam risiko.
SBOM membantu tim pengembang untuk:
- Mengidentifikasi kerentanan lebih awal dengan memetakan komponen yang terpengaruh
- Meningkatkan kepatuhan dengan standar seperti NIST, ISO, atau Executive Order 14028 di AS
- Meningkatkan keamanan rantai pasokan dengan memastikan transparansi dalam komposisi perangkat lunak
- Membangun kepercayaan dengan pelanggan dan mitra dengan menunjukkan komponen apa yang disertakan
Elemen Kunci dari SBOM
SBOM yang tepat biasanya mencakup:
- Nama Komponen (misalnya,
lodash) - Versi (misalnya, 4.17.21)
- Informasi Lisensi (sumber terbuka atau kepemilikan)
- Pemasok (proyek atau vendor yang memeliharanya)
- Hubungan (bagaimana komponen saling bergantung)
Contoh dalam Praktik: Pelanggaran Apache Struts (Equifax, 2017)
Pada tahun 2017, penyerang mengeksploitasi kerentanan kritis dalam kerangka kerja Apache Struts (CVE-2017-5638), yang digunakan dalam aplikasi web Equifax (agensi pelaporan kredit konsumen multinasional Amerika). Patch untuk kerentanan ini sudah tersedia, tetapi Equifax gagal menerapkannya tepat waktu.
Karena kurangnya visibilitas terhadap semua dependensi dan pustaka di dalam aplikasi mereka, cacat dalam pustaka Struts tidak terdeteksi, yang mengarah pada salah satu pelanggaran data terbesar dalam sejarah, lebih dari 147 juta data pribadi terungkap.
Jika SBOM telah diterapkan, Equifax dapat dengan cepat:
- Mengidentifikasi bahwa aplikasi mereka menggunakan versi Apache Struts yang rentan
- Memprioritaskan penambalan segera setelah kerentanan diungkapkan
- Mengurangi waktu yang dimiliki penyerang untuk mengeksploitasi kelemahan tersebut
Kasus ini membuat kita mengetahui bagaimana SBOM memiliki peran penting untuk menjaga komponen perangkat lunak tetap aman, membantu organisasi bertindak lebih cepat terhadap kerentanan yang baru diungkapkan.
Istilah Terkait
- SCA (Analisis Komposisi Perangkat Lunak)
- Serangan Rantai Pasokan
- Keamanan Sumber Terbuka
- Manajemen Kerentanan