Wat Is SBOM (Software Bill of Materials)?

Een Software Bill of Materials (SBOM) is een gedetailleerde inventaris van componenten die een software vormen, inclusief derde-partij en open-source bibliotheken, en frameworkversies. Het is als een ingrediëntenlijst binnen de applicatie.

Door elk component binnen de applicatie bij te houden, kan het ontwikkelingsteam snel detecteren wanneer nieuwe kwetsbaarheden worden ontdekt.

Waarom SBOM Belangrijk Is in Cybersecurity

Moderne applicaties worden gebouwd door honderden of duizenden derde-partij afhankelijkheden en open-source bibliotheken te combineren om de ontwikkeling te versnellen. Als een van deze kwetsbaarheden heeft, brengt het de hele applicatie in gevaar.

Een SBOM helpt het ontwikkelingsteam om:

• Kwetsbaarheden eerder te identificeren door de getroffen component in kaart te brengen
• De naleving van normen zoals NIST, ISO, of Executive Order 14028 in de VS te verbeteren
• De beveiliging van de toeleveringsketen te verbeteren door transparantie in de softwarecompositie te waarborgen
• Vertrouwen op te bouwen met klanten en partners door te laten zien welke componenten zijn opgenomen

Belangrijke Elementen van een SBOM

Een juiste SBOM bevat meestal:

• Componentnaam (bijv. lodash)
• Versie (bijv. 4.17.21)
• Licentie-informatie (open source of propriëtair)
• Leverancier (project of leverancier die het onderhoudt)
• Relaties (hoe componenten van elkaar afhankelijk zijn)

Voorbeeld in de Praktijk: De Apache Struts Inbreuk (Equifax, 2017)

In 2017 maakten aanvallers gebruik van een kritieke kwetsbaarheid in het Apache Struts-framework (CVE-2017-5638), dat werd gebruikt in de webapplicaties van Equifax (Amerikaans multinationaal consumenten kredietrapportagebureau). De patch voor deze kwetsbaarheid was beschikbaar, maar Equifax slaagde er niet in deze op tijd toe te passen.

Omdat er geen zicht was op alle afhankelijkheden en bibliotheken binnen hun applicatie, bleef de fout in de Struts-bibliotheek onopgemerkt, wat leidde tot een van de grootste datalekken in de geschiedenis, waarbij meer dan 147 miljoen persoonlijke gegevens werden blootgesteld.

Als er een SBOM aanwezig was geweest, had Equifax snel kunnen:

• Identificeren dat hun applicaties de kwetsbare versie van Apache Struts gebruikten
• Prioriteit geven aan het patchen zodra de kwetsbaarheid werd bekendgemaakt
• De tijd verkorten die aanvallers hadden om de zwakte uit te buiten

Deze casus laat ons zien hoe een SBOM een cruciale rol speelt bij het veilig houden van softwarecomponenten, en organisaties helpt sneller te reageren op nieuw bekendgemaakte kwetsbaarheden.

Gerelateerde Termen

• SCA (Software Composition Analysis)
• Supply Chain Attack
• Open Source Security
• Vulnerability Management