Yr hanner meddalwedd
Mewnlyncu CycloneDX, cydrannau wedi'u dad-ddyblygu yn ôl URL pecyn, rhyddhadau, defnyddiadau a pholisi trwyddedau.
Bil deunyddiau
Beth yw bil deunyddiau, a pham mae un gofrestr yn gweithio'n well na dwy
Mae BOM, SBOM a HBOM i gyd yn disgrifio o beth mae rhywbeth wedi'i wneud. BOM yw'r term cyffredinol, ac mae SBOM a HBOM yn ei gymhwyso at feddalwedd a chaledwedd. Mae rhestr yn ddefnyddiol pan fydd wedi'i chysylltu â'r systemau rydych chi'n eu rhedeg mewn gwirionedd.
Y tri therm, yn syml
Mae'r eirfa wedi tyfu'n gyflymach na'r ymarfer, ac mae gwerthwyr yn defnyddio'r geiriau'n llac. Dyma ystyr pob term a beth yw ei bwrpas.
| Term | Rhestrau | Atebion |
|---|---|---|
| BOM bil deunyddiau | Rhannau unrhyw beth. Y term cyffredinol, wedi'i fenthyca o weithgynhyrchu. | O beth mae hyn wedi'i wneud? |
| SBOM bil deunyddiau meddalwedd | Cydrannau y tu mewn i un rhyddhad meddalwedd: llyfrgell, fersiwn, cyflenwr, trwydded, ac yn aml URL pecyn sy'n ei nodi'n union. | Beth sydd y tu mewn i'r hyn rydym yn ei anfon, a phwy a'i cyflenwodd? |
| HBOM bil deunyddiau caledwedd | Y rhannau y tu mewn i gynnyrch caledwedd, y cwmnïau a'u gwnaeth a ble, mewn dogfen y mae gwerthwr yn ei rhoi i brynwr (Fframwaith HBOM CISA, 2023). | O beth y mae'r ddyfais hon wedi'i gwneud, a phwy a'i gwnaeth, a ble? |
| Cofrestr asedau | Y dyfeisiau sy'n eiddo i sefydliad: rhifau cyfresol, pwy sydd â phob un, ble mae pob un a beth yw ei chyflwr. | Beth sydd gennym ni, ble mae e, a phwy sy'n gyfrifol? |
| VEX cyfnewid ecsbloetio gwendidau | Safbwynt ar wendid penodol mewn cynnyrch penodol: yr effeithir arno, na effeithir arno, wedi'i ddatrys, neu wrthi'n cael ei ymchwilio, ynghyd â'r rhesymeg. | Mae'r CVE hwn yn ymddangos yn ein SBOM. A yw'n effeithio arnom mewn gwirionedd? |
Pam y daeth hyn yn broblem i bawb
Caiff y rhan fwyaf o feddalwedd fodern ei chreu o rannau. Mae gan wasanaeth nodweddiadol ychydig filoedd o linellau o'ch cod eich hun a rhai cannoedd o ddibyniaethau na wnaethoch chi eu hysgrifennu, pob un â dibyniaethau o'i eiddo ei hun. Pan fydd diffyg gan un ohonynt, mae angen i chi ddod o hyd i bob system rydych chi'n ei rhedeg sy'n ei gynnwys, yn gyflym.
Dangosodd Log4Shell hyn i lawer o sefydliadau ym mis Rhagfyr 2021. Fe wnaeth rhai timau glytio o fewn oriau tra cymerodd eraill bythefnos. Roedd gan y timau cyflym gofnod yn barod o'r hyn a oedd y tu mewn i'r meddalwedd a ddarparwyd ganddynt ac o ble'r oedd yn rhedeg.
Mae rheoleiddio wedi dilyn. Gwnaeth Gorchymyn Gweithredol 14028 UDA SBOMau yn amod ar gyfer caffael meddalwedd ffederal. Mae Deddf Cydnerthedd Seiber yr UE yn gorfodi gweithgynhyrchwyr cynhyrchion ag elfennau digidol i gynnal bil deunyddiau ac i ymdrin â gwendidau am oes gefnogol y cynnyrch. Mae prynwyr preifat bellach yn gofyn am SBOMau yn ystod diwydrwydd dyladwy p'un a yw statud yn gofyn amdanynt ai peidio.
O restr i ateb
Mae'r rhan fwyaf o offer yn dod i ben pan gynhyrchir y ddogfen. Mae bil deunyddiau yn ddefnyddiol yn ymarferol pan fo pedwar amod yn ddilys, ac mae pob un ohonynt yn aml ar goll mewn prosesau defnyddio go iawn.
- Mae'n gyfredol. Dim ond y gorffennol y mae SBOM a gynhyrchwyd unwaith ar gyfer rhyddhad nad ydych yn ei redeg mwyach yn ei ddisgrifio. Gall CVE a gyhoeddir heddiw effeithio ar gydran a fewnlyncwyd gennych fisoedd yn ôl. Dim ond pan gaiff y rhyddhad ei sganio eto yn erbyn y ffrydiau cynghori cyfredol y byddwch yn canfod hynny.
- Mae wedi'i dystio. Mae provenance yn cadw'r union beitiau rydych chi'n eu cyhoeddi, ynghyd â'u crynodeb. Nid dogfen a ail-gynhyrchwyd o gronfa ddata flynyddoedd yn ddiweddarach yw'r arteffact a grëwyd gan eich adeiladiad, a heb yr union beitiau gwreiddiol ni all unrhyw un brofi mai SBOM penodol yw'r un a allyrrwyd gan CI.
- Mae wedi'i gysylltu â'r broses ddefnyddio. Heb y map o'r rhyddhad i'r amgylchedd i'r peiriant, ni allwch wybod pa ganfyddiadau sy'n rhai brys.
- Mae'n cofnodi penderfyniadau yn ogystal â ffeithiau. Nid yw'r rhan fwyaf o ganfyddiadau yn berthnasol yn y pen draw. Mae provenance yn cofnodi'r rhesymeg ac enw'r unigolyn a wnaeth bob penderfyniad, fel nad oes angen ailadrodd y broses flaenoriaethu bob chwarter ac fel bod yr archwilydd yn gweld yr hyn a benderfynwyd.
Un gofrestr, am fod y cwestiwn yn croesi'r ffin
Mae'r farchnad wedi'i rhannu ar hyd hen ffin. Mae offer rheoli asedau TG yn berchen ar galedwedd, ac mae offer dadansoddi cyfansoddiad meddalwedd yn berchen ar ddibyniaethau. Mae'r ddau fath o offeryn yn aeddfed. Ni all yr un ohonynt ateb y cwestiwn a godir gan ddigwyddiad, oherwydd bod angen y ddau hanner ar y cwestiwn hwnnw.
Mae provenance yn cadw'r ddau hanner mewn un gofrestr, wedi'u cysylltu drwy fap defnyddio. Mae pob cydran yn perthyn i ryddhadau. Caiff pob rhyddhad ei ddefnyddio mewn amgylchedd a gellir ei bennu i beiriant a enwir o'r gofrestr caledwedd, ynghyd â'i geidwad, ei safle a'i gylch bywyd. Mae un chwiliad yn mynd o lyfrgell sy'n agored i niwed i'r peiriannau yr effeithir arnynt a'r bobl sy'n gyfrifol amdanynt.
Yr hanner caledwedd
Dyfeisiau â chylch bywyd llawn, ceidwaid, tystiolaeth amgryptio, hanes pwynt mewn amser a gwaredu ardystiedig.
Ble maen nhw'n cwrdd
Canfyddiadau wedi'u graddio yn ôl a yw'r rhyddhad yr effeithir arno wedi'i ddefnyddio, gyda safbwyntiau VEX y mae person yn eu cymeradwyo.
Bil deunyddiau: cwestiynau cyffredin
Beth yw bil deunyddiau?
Rhestr o'r hyn y mae rhywbeth wedi'i wneud ohono yw bil deunyddiau, sy'n ddigon manwl i rywun arall allu cyfrif am bob rhan. Daw'r term o weithgynhyrchu, lle mae BOM yn rhestru rhannau cynnyrch ffisegol. Mewn meddalwedd, mae SBOM yn rhestru'r cydrannau y tu mewn i'r hyn rydych yn ei gyflenwi. Mewn caledwedd, mae HBOM yn rhestru'r rhannau y tu mewn i ddyfais, pwy a'u gwnaeth a ble. Peth gwahanol yw'r gofrestr asedau y mae sefydliad yn ei chadw o'r offer sy'n eiddo iddo.
Beth yw'r gwahaniaeth rhwng BOM ac SBOM?
Mae SBOM, neu fil deunyddiau meddalwedd, yn rhestru'r llyfrgelloedd, y fersiynau, y cyflenwyr a'r trwyddedau y tu mewn i un adeiladiad o ddarn o feddalwedd. BOM yw'r term cyffredinol, SBOM yw ei ffurf feddalwedd a HBOM yw ei ffurf galedwedd.
A oes angen SBOM yn ôl y gyfraith?
Mewn mwy a mwy o achosion, ydy. Gwnaeth Gorchymyn Gweithredol 14028 yr Unol Daleithiau SBOMau yn amod ar gyfer gwerthu meddalwedd i asiantaethau ffederal. Mae Deddf Cydnerthedd Seiber yr UE yn gorfodi gweithgynhyrchwyr cynhyrchion sydd ag elfennau digidol i gadw un ac i drin gwendidau drwy gydol oes y cynnyrch. Mae llawer o brynwyr preifat hefyd yn gofyn am SBOM yn ystod diwydrwydd dyladwy, p'un a oes statud yn ei gwneud yn ofynnol ai peidio.
Beth sy'n gwneud bil deunyddiau yn ddefnyddiol mewn gwirionedd?
Rhaid iddo fod yn gyfredol, yn gyflawn ac wedi'i gysylltu â'r hyn rydych yn ei redeg. Ni all rhestr ddibyniaethau nad yw'n dangos pa ryddhad a gyflenwodd bob dibyniaeth, neu ble mae'r rhyddhad hwnnw'n rhedeg, ateb yr unig gwestiwn sy'n bwysig yn ystod digwyddiad.
Pam cadw caledwedd a meddalwedd mewn un gofrestr?
Mae'r cwestiynau sy'n codi yn ystod digwyddiad yn cynnwys y ddau. Er mwyn gweithredu ar wendid critigol mewn llyfrgell, mae angen y rhyddhadau sy'n ei gynnwys, y rhai sydd wedi'u defnyddio a'r peiriannau sy'n eu rhedeg. Pan fydd caledwedd a meddalwedd mewn systemau ar wahân, bydd rhywun yn eu cysylltu â llaw dan bwysau amser, mewn taenlen fel arfer.
Ei weld yn erbyn eich ystâd TG eich hun
Am ddim at ddefnydd personol. Ar gyfer sefydliad, rhowch wybod i ni am faint yr ystâd TG a'r hyn y mae angen i chi ei dystio.