Regulativno dejstvo: najpomembnejše odvisnosti, strojno berljivo, splošno uporabna oblika. Naše priporočilo: dodajte dovolj podatkov za povezavo sestavnih delov z viri ranljivosti in za razlago odnosov.
Regulativno dejstvo in priporočilo
Besedilo Priloge I, del II(1) je minimum. Vse spodaj je praksa, ki SBOM naredi uporaben za obravnavo ranljivosti, ki jo CRA zahteva. Označeno je kot priporočilo.
Priporočena vsebina
| Element | Zakaj je pomemben |
|---|---|
| Dobavitelj in ime sestavnega dela | Opredeljuje, kaj dobavljate in kdo to vzdržuje |
| Različica sestavnega dela | Ranljivosti veljajo za različice |
| Enolični identifikator (purl, CPE, zgoščene vrednosti) | Omogoča zanesljivo povezavo z viri ranljivosti |
| Odnosi odvisnosti | Kaže, kaj je od česa odvisno in kje ranljiv sestavni del vstopi |
| Avtor SBOM in časovni žig | Kaže, kdo jamči za podatke in kdaj so bili ustvarjeni |
| Vrsta in obseg sestavnega dela | Loči izvajalne komponente od gradbenih in testnih |
| Podatki o licencah | Ni zahteva CRA, a se običajno zahteva |
| Sklic na izdelek in različico | Poveže SBOM z izdajo v tehnični mapi |
Minimalni elementi NTIA iz leta 2021 se pogosto uporabljajo kot izhodišče za podatkovna polja. Niso del CRA.
Globina
Najpomembnejše odvisnosti so minimum. Veliko ranljivosti je v tranzitivnih odvisnostih, zato jih večina izdelkov potrebuje tudi. Strojna programska oprema, vsebniki, vključena koda in paketi operacijskega sistema so del tistega, kar dobavljate, in sodijo v popis.
Preverjanje kakovosti
Določite merila sprejemljivosti: delež sestavnih delov z identifikatorji, delež z različicami in preverjanja, da SBOM ustreza artefaktu. Zavrnite SBOM, ki jih ne izpolnijo. Kakovost odloča, ali povezovanje z ranljivostmi deluje.
Ustvariti SBOM samo iz manifestov izvorne kode. Tak SBOM zgreši sestavne dele, dodane ob gradnji ali pakiranju.
Naslednji korak
Preberite CycloneDX in SPDX ter VEX.
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
- CRA in SBOM: kaj je dejansko zahtevano?
- CycloneDX in SPDX za SBOM po CRA
- VEX in CRA: dokumentiranje izrabljivosti
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.