はじめに

最近、SBOMツールについて調べる機会があったため、調べたことをまとめてみました。

SBOMとは

ソフトウェアを構成する

などの情報をリストにまとめたもの。
脆弱性やOSSのライセンス、ソフトウェアサプライチェーンのリスク管理等で利用される。

SBOMのイメージ

カテゴリー	概要	具体的な定義
データフィールド	各コンポーネントの基本情報を明確化すること	サプライヤー名、コンポーネントの名前とバージョンなど、各コンポーネントに関する基本情報をSBOMに含める
自動化サポート	SBOMの自動生成や可読性などの自動化をサポートすること	SBOMデータを機械判読および相互運用が可能なフォーマットを使用して作成する
プラクティスとプロセス	SBOMの要求、生成、利用に関する運用方法を定義すること	SBOMを利活用する組織は、作成頻度、共有、アクセス管理などの項目に関して運用方法を定義する

内容や書き方、粒度などを統一するため、書き方のルールを定めたもの

フォーマット名	特徴
SPDX	・幅広いソフトウェア部品タイプをサポートしている。・ライセンスを個別に特定する識別子のリストが用意されている。
CycloneDX	・セキュリティ管理に重点を置いたフォーマット。・既知の脆弱性だけでなく、その脆弱性の悪用可能性も記述できる。
SWIDタグ	・ソフトウェアのライフサイクルに沿ってSBOMを管理できる。・ソフトウェアの識別だけでなく、コンポーネントのライセンスやアップデートの情報、脆弱性・脅威に関する情報を含むことが可能。

脆弱性管理のメリット
- 脆弱性残留リスクの低減
- 脆弱性対応時間の短縮
- 脆弱性管理にかかるコストの低減
ソフトウェアを利用する側からすれば「ソフトウェアに含まれるコンポーネントの脆弱性の可否を判断すること」は通常不可能なため、SBOMツールを使用しコンポーネントが可視化すれば脆弱性を発見しやすくなる。
　
ライセンス管理のメリット
- ライセンス違反リスクの低減
- ライセンス管理にかかるコストの低減
ソフトウェアに含まれるコンポーネントのライセンス情報が可視化され、自動管理される
　
開発の生産性向上のメリット
- 開発遅延の阻止
- 開発にかかるコストの低減
- 開発期間の短縮
コンポーネントに含まれる既知の脆弱性やライセンスの問題を事前に把握できる。
ソフトウェアに生じた問題を早期に特定できる。

今回、SBOMツールについて紹介させていただきました。
実物を見たことがないためWebにある情報だけでなんとか記事を完成させました。
まだ理解できない部分があるため、実際に触れる機会があれば調べたことを生かしていきたいと思います。
最後まで読んでいただきありがとうございました。