DAY41 SBOM 軟體物料清單

• 一. 什麼是SBOM軟體物料清單？
  • 1.1 元件是什麼？
  • 1.2 與DAY2講的資產盤點有什麼不同？
  • 1.3 SBOM會記錄哪些資料？
  • 1.4 假設有新漏洞出現，這份清單可以幹嘛？

一. 什麼是SBOM軟體物料清單？

Software Bill of Materials，SBOM
軟體物料清單
是一份用來記錄軟體由哪些元件組成、各元件的版本、相依關係等等的資訊結構化清單

為什麼需要SBOM?
假設今天一間餐廳中的義大利麵食譜，會用到：

• 麵條
• 番茄
• 起司
• 橄欖油
• 調味料

這些是製造義大利麵的原料
如果有一天起司的供應商宣布公告：
某一批的起司存在食品安全問題，必須停止使用

這時我就需要知道：
我的哪些食品有用到起司並且又是這個供應商供應的？

如果事前沒有建立原料清單來記錄，就要一個一個食譜去查

而軟體也是：
如果連軟體裡面的元件有哪些都不知道，就很難判斷新公布的漏洞會不會影響自己
SBOM就是為了解決這個問題

1.1 元件是什麼？

Component(元件)
組成一個軟體的一部分
例如：
用別人寫好的程式套件，處理網站的圖片
這個圖片處理套件=一個元件

而這些元件有時候也需要依賴其他元件，才能完成相關功能
這就叫:相依套件/相依關係

1.2 與DAY2講的資產盤點有什麼不同？

資產盤點=先搞清楚組織擁有哪些資產
SBOM更深入是這些資產中軟體的部分由哪些元件組成

整個關係鏈會是：
資產盤點->
發現公司有一套購物系統->
SBOM軟體物料清單->
知道購物系統包含哪些元件以及版本->

1.3 SBOM會記錄哪些資料？

通常會記錄四種核心資訊：

1. 元件名稱
2. 元件版本
3. 元件來源
4. 相依關係

以上面的購物網站為例：
簡化的SBOM可能會是

有了這份SBOM清單，就能回答出:

1. 這個購物網站，使用了哪些軟體元件?
2. 目前是什麼版本?
3. 某個元件出問題時，可能影響哪些軟體？

這只是簡化說明的版本，真正的SBOM會記錄更複雜

1.4 假設有新漏洞出現，這份清單可以幹嘛？

假設某個軟體供應商公布

加密元件Ｃ的某個版本出現安全漏洞

這時公司的資安人員就可以：

1. 取得漏洞公告
   • 了解是哪個元件和哪些版本受到影響
2. 查詢SBOM軟體物料清單
   • 找到公司有哪些系統包含了這個元件以及這個版本
3. 影響確認
   • 根據實際使用方式來看有沒有受到影響
4. 風險處理
   • 視情況更新套件或採取其他控制措施
5. 重新更新SBOM軟體物料清單

簡單來說就是：
讓資安團隊可以更快找出哪些系統可能受到影響，再進行確認與處理