Vad är SBOM (Software Bill of Materials)?
En Software Bill of Materials (SBOM) är en detaljerad inventering av komponenter som utgör en mjukvara, inklusive tredjeparts- och öppen källkodsbibliotek samt ramverksversioner. Det är som en ingredienslista inuti applikationen.
Genom att hålla reda på varje komponent i applikationen kan utvecklingsteamet snabbt upptäcka när nya sårbarheter upptäcks.
Varför SBOM är viktigt inom cybersäkerhet
Moderna applikationer byggs genom att kombinera hundratals eller tusentals tredjepartsberoenden och öppen källkodsbibliotek för att påskynda utvecklingen. Om en av dessa har sårbarheter, utsätter det hela applikationen för risk.
En SBOM hjälper utvecklingsteamet att:
- Identifiera sårbarheter tidigare genom att kartlägga påverkade komponenter
- Förbättra efterlevnad av standarder som NIST, ISO eller Executive Order 14028 i USA
- Förbättra försörjningskedjans säkerhet genom att säkerställa transparens i mjukvarans sammansättning
- Bygga förtroende med kunder och partners genom att visa vilka komponenter som ingår
Nyckelelement i en SBOM
En korrekt SBOM inkluderar vanligtvis:
- Komponentnamn (t.ex.
lodash) - Version (t.ex. 4.17.21)
- Licensinformation (öppen källkod eller proprietär)
- Leverantör (projekt eller leverantör som underhåller det)
- Relationer (hur komponenter är beroende av varandra)
Exempel i praktiken: Apache Struts-incidenten (Equifax, 2017)
År 2017 utnyttjade angripare en kritisk sårbarhet i Apache Struts-ramverket (CVE-2017-5638), som användes i Equifaxs (amerikanskt multinationellt konsumentkreditrapporteringsföretag) webbapplikationer. En patch för denna sårbarhet var tillgänglig, men Equifax misslyckades med att tillämpa den i tid.
Eftersom de saknade insyn i alla beroenden och bibliotek inom deras applikation, gick felet i Struts-biblioteket obemärkt förbi, vilket ledde till ett av de största dataintrången i historien, där mer än 147 miljoner personuppgifter exponerades.
Om en SBOM hade funnits på plats, kunde Equifax snabbt ha:
- Identifierat att deras applikationer använde den sårbara versionen av Apache Struts
- Prioriterat att patcha så snart sårbarheten avslöjades
- Minskat den tid angripare hade för att utnyttja svagheten
Detta fall visar hur en SBOM har en kritisk roll för att hålla mjukvarukomponenter säkra, vilket hjälper organisationer att agera snabbare vid nyupptäckta sårbarheter.
Relaterade termer
- SCA (Software Composition Analysis)
- Leveranskedjeattack
- Öppen källkodssäkerhet
- Sårbarhetshantering