Prüfen Sie Ihre Software-Stückliste (SBOM) auf Pakete mit Sicherheitslücken und rechtlichen Problemen. Automatisieren und integrieren Sie Ihren gesamten SBOM-Managementprozess mit Snyk in die Entwickler-Workflows.
Melden Sie sich kostenlos an und nutzen Sie das volle Potenzial der SBOM-Sicherheitsprüfung von Snyk – ohne Kreditkarte.
Eine aktuelle SBOM ist entscheidend, um mit der rasanten Softwareentwicklung Schritt zu halten, bei der sich Komponenten und ihre Versionen schnell ändern.
Wenn Sie als Entwickler Open-Source-Softwarebibliotheken verwenden, können Lizenzprobleme auftreten, die möglicherweise einen Wechsel zu einer anderen Bibliothek erforderlich machen.
SBOMs sind ein wichtiger Bestandteil einer Executive Order aus dem Jahr 2022 zur Sicherheit der Software-Supply-Chain. Das bedeutet, dass die SBOM-Sicherheit auch in den kommenden Jahren im Fokus bleiben wird.
Eine Software-Stückliste (SBOM) ist eine vollständige Liste aller Softwarekomponenten, die in einer Organisation verwendet werden. Sie umfasst Open-Source-Bibliotheken von Drittanbietern, von Anbietern bereitgestellte Pakete und selbst entwickelte Artefakte.
Eine SBOM ist im Wesentlichen eine Bestandsliste aller Softwarekomponenten, die Sie in Ihren Anwendungen verwenden. Zusammen mit geeigneten Sicherheitstools wie der Software Composition Analysis bietet eine SBOM einen klaren Überblick über Lizenz- und Sicherheitsrisiken im Zusammenhang mit Software, die Sie entwickeln oder nutzen. Eine aktuelle, SBOM-Format-konforme Software-Stückliste ist entscheidend, um mit der schnellen Softwareentwicklung Schritt zu halten, bei der sich Komponenten und ihre Versionen rasch ändern.
Mit dem SBOM Security Checker von Snyk können Sie Software Bill of Materials (SBOM)-Dateien hochladen und auf bekannte Sicherheitslücken und rechtliche Probleme untersuchen. So bleiben Sie in Ihren Entwicklungsabläufen compliant und sicher.
Der Snyk SBOM Checker hilft Ihnen dabei, technische Schulden abzubauen, die Compliance zu verbessern und die Entwicklung zu beschleunigen, indem er sich verändernde Abhängigkeiten kontinuierlich auf Sicherheitslücken und Lizenzrisiken überwacht.
Auf jeden Fall. Die SBOM-Generierung und das Scannen lassen sich mit der Snyk CLI über den gesamten Entwicklungslebenszyklus hinweg automatisieren. So werden SBOMs mit minimalem Aufwand in CI/CD-Pipelines und Entwickler-Workflows integriert.
Der SBOM Checker selbst sucht zwar nach Sicherheitslücken und Lizenzproblemen, profitiert jedoch von der umfassenderen Plattform von Snyk, die von der AI Trust Platform unterstützt wird. Sie verbessert die Automatisierung und Intelligenz und liefert entwicklerorientierte Einblicke über den gesamten Scan-Workflow hinweg.
Snyk unterstützt sowohl die SBOM-Standards CycloneDX als auch SPDX. Sie können SBOMs in diesen Formaten generieren und testen, um sie nahtlos in Ihre Sicherheitsprozesse zu integrieren.
CycloneDX und SPDX sind die beiden am häufigsten verwendeten SBOM-Standards im Bereich Sicherheit. Welchen Sie verwenden sollten, hängt von den Anforderungen Ihres Projekts ab. Sie können auch beide implementieren. Ein einheitlicher, verbindlicher SBOM-Standard ist in absehbarer Zeit unwahrscheinlich. Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) und andere gehen davon aus, dass mehrere Formate noch einige Zeit parallel bestehen werden.
OWASP CycloneDX ist ein Software-Stücklistenstandard (SBOM), der für Anwendungssicherheit und die Analyse von Komponenten in der Software-Lieferkette entwickelt wurde. Er bietet eine Übersicht über alle Softwarekomponenten aus erster und dritter Hand. Die Spezifikation ist umfangreich und geht über Softwarebibliotheken hinaus. Sie umfasst auch Standards wie Software-as-a-Service-Stücklisten (SaaSBOM), den Vulnerability Exploitability Exchange (VEX) und weitere. Der Standard ist ein Open-Source-Projekt unter Apache-2.0-Lizenz und lädt zur Mitarbeit im folgenden Open-Source-GitHub-Repository ein: https://github.com/CycloneDX/specification.
SPDX von The Linux Foundation ist ein weiterer Standard für SBOMs, mit dem sich Komponenten, Lizenzen, Urheberrechte, Sicherheitsreferenzen und weitere softwarebezogene Metadaten ausdrücken lassen. SPDX soll redundante Arbeit reduzieren, indem wichtige Daten einfach in einem gemeinsamen Format ausgetauscht werden können. Das trägt zu einer besseren Compliance, Sicherheit und Zuverlässigkeit bei. SPDX ist ein Open-Source-Projekt aus der Community, das von der Linux Foundation gehostet wird. Die vollständige SPDX-Spezifikation finden Sie hier, ebenso wie das SPDX-GitHub-Repository.