Úplnost
Obsahuje SBOM i tranzitivní závislosti a komponenty přidané při sestavení?
Na co se analýza závislostí zaměřuje
Orientační pohled, nikoli měření: 3 hlavní oblast, 2 běžná součást, 1 kontext nebo podle rozsahu, 0 mimo běžný rozsah.
| Oblast | Úroveň |
|---|---|
| Návrh a hranice důvěry | okrajově |
| Autentizace a autorizace | mimo rozsah |
| Vstupy a zpracování dat | okrajově |
| Obchodní logika | mimo rozsah |
| Tajemství a kryptografie | okrajově |
| Závislosti a sestavení | hlavní zaměření |
Převzatý kód je součástí vašeho produktu
Aplikace stojí na open-source knihovnách, frameworcích a kontejnerových obrazech. Jejich chyby i licence se stávají součástí vašeho produktu, i když jste je sami nenapsali.
Analýza závislostí odpovídá na tři otázky: co v software skutečně je, které komponenty mají známé zranitelnosti či jiná rizika a které z nich se vás opravdu týkají.
- Přímé i tranzitivní závislosti aplikace.
- Kontejnerové obrazy a základní systémové balíčky podle rozsahu.
- Stáří, údržba a původ komponent.
- Známé zranitelnosti a jejich relevance pro vaše použití.
- Přehled licencí jako podklad pro vaše právní posouzení.
Výstup nástroje ověříme v kontextu
Nástroje pro analýzu složení software (SCA) porovnají komponenty s veřejnými databázemi zranitelností, například OSV. Jejich výstup bývá dlouhý a obsahuje i nálezy bez praktického dopadu. U významných položek proto ověřujeme, zda je zranitelná funkce dosažitelná, jak je komponenta nastavená a zda existuje bezpečná verze.
Pokud to rozsah zahrnuje, posoudíme také cestu od zdrojového kódu k vydání: odkud se závislosti stahují, jak jsou fixované verze, kdo může měnit sestavení a jak jsou chráněná tajemství v CI. Orientačně vycházíme z OWASP SCVS a z doporučení NIST SSDF pro bezpečný vývoj. Nejde o certifikaci ani formální posouzení shody.
SBOM připravíme, nebo zkontrolujeme
Software Bill of Materials (SBOM) je strojově čitelný seznam komponent software. Někteří odběratelé ho vyžadují jako součást dodávky. Pomůžeme ho připravit, nebo ověřit, zda odpovídá skutečně sestavené verzi.
Pracujeme s otevřenými formáty CycloneDX (ECMA-424) a SPDX (ISO/IEC 5962:2021). Formát a úroveň detailu přizpůsobíme požadavku vašeho zákazníka nebo internímu procesu.
Přesnost
Odpovídají verze a identifikátory komponent skutečně vydané verzi?
Udržitelnost
Vzniká SBOM automaticky při každém sestavení, nebo jen jednorázově?
Typická zjištění
Zranitelné verze
Komponenty se známou zranitelností, pro které existuje opravená verze.
Neudržované komponenty
Knihovny bez aktivní údržby nebo s nejasným vlastníkem.
Nefixované verze
Závislosti stahované bez pevné verze nebo kontroly integrity.
Slabé sestavení
Široká oprávnění v CI, nechráněná tajemství nebo neověřené zdroje balíčků.
Výstupy a co od vás potřebujeme
Potřebujeme přístup ke konkrétní revizi kódu nebo k sestaveným artefaktům, soubory se závislostmi a popis postupu sestavení. Analýza zachycuje stav v době provedení. Nové zranitelnosti se objevují průběžně, proto doporučujeme kontrolu závislostí zařadit do vývojového procesu. Retest a navazující konzultace dohodneme podle nabídky.
- Přehled komponent a seřazená rizika s ověřenou relevancí.
- Doporučené aktualizace, náhrady nebo dočasná opatření.
- Připravený nebo zkontrolovaný SBOM v dohodnutém rozsahu.
- Doporučení pro průběžnou správu závislostí ve vývojovém procesu.
