Izberite en primarni format, znajte izvoziti drugega in poskrbite za dobre podatke. Izbira formata je manj pomembna od kakovosti SBOM in procesa.
Primerjava
| Vidik | CycloneDX | SPDX |
|---|---|---|
| Izvor | Projekt OWASP, standardiziran kot ECMA-424 | Projekt Linux Foundation, standardiziran kot ISO/IEC 5962 |
| Poudarek | Primeri uporabe v varnosti in dobavni verigi, s podporo VEX | Izvira iz skladnosti licenc, razširjen na varnost in druge profile |
| Zapisi | JSON, XML, Protocol Buffers | JSON, YAML, tag-value, RDF |
| Tipična uporaba | Cevovodi za obravnavo ranljivosti | Tokovi licenc in skladnosti, zahteve javnega sektorja |
Izbira
Uporabite tisto, kar vaš skener, orodja za gradnjo in platforma za upravljanje SBOM dobro porabijo. Če ključne stranke zahtevajo določen format, ga ustvarite. Vzdrževanje obeh iz enega vira podatkov je običajno manj dela kot vzdrževanje dveh procesov. Na strani platforma in orodja so orodja, s katerimi delamo, vključno z odprtokodnimi, kot so Syft, Trivy in OWASP Dependency-Track.
CRA pravi »splošno uporabna in strojno berljiva«. Preverite smernice Komisije in objavljene tehnične specifikacije za posodobitve o formatih.
Najprej izbrati format, nato proces. Oba formata lahko nosita slabe podatke.
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.