أتمتة قائمة مكونات البرمجيات

برنامج SBOM الذي يجمع الوثائق دون أتمتة إدخالها وتحليلها ودراستها هو برنامج لجمع الأدلة، لا برنامج للرؤية في سلسلة التوريد. فقيمة SBOM تتحقق لحظة نشر CVE جديدة لمكوّن في المخزون، حين تمكّن SBOM المؤسسة من أن تحدد فورًا برمجيات أي مورّد متأثرة، وأي إصدار من تلك البرمجيات تشغّله المؤسسة، وما الإجراء المطلوب. ولا تتحقق هذه القيمة إلا إذا كانت بيانات SBOM بصيغة قابلة للقراءة آليًا، وحُلّلت في نظام يمكن الاستعلام فيه مقابل بيانات الثغرات الحالية، وحُدّثت منذ صدور إصدار البرمجيات الذي تشغّله المؤسسة فعليًا.

تمثّل مشكلة تعدد الصيغ العائق الأول أمام الأتمتة. إذ تُنتج SBOMs بصيغ متعددة: SPDX (بعدة صيغ تسلسل: JSON وRDF وYAML وصيغة الوسم والقيمة)، وCycloneDX (بصيغتي JSON وXML)، وصيغ مملوكة متنوعة. والبرنامج الذي يقبل SBOMs بأي صيغة يقدّمها المورّد سيراكم مجموعة من الوثائق تتطلب أدوات تحليل مختلفة، مما يخلق تحديًا في إدارة المخزون لا تستطيع معظم العمليات اليدوية مواكبته. ويُعد التوحيد على صيغة SBOM واحدة، وصيغة CycloneDX JSON هي الأوسع اعتمادًا للمعالجة الآلية، ومطالبة الموردين بتقديم SBOMs بتلك الصيغة، أساس الأتمتة.

يمثّل متطلب التحديث المستمر البُعد الثاني للأتمتة. فالثغرات البرمجية تُنشر باستمرار، إذ تنشر قاعدة البيانات الوطنية للثغرات مئات من CVEs الجديدة أسبوعيًا. وSBOM الدقيقة عند جمعها تصبح تدريجيًا أقل حداثة بوصفها مرجعًا للثغرات، لأنها لا تعكس CVEs الجديدة المنشورة لمكونات المخزون منذ جمعها. أما منصات الإدارة الآلية لـSBOM التي تراقب مخزونات المكونات باستمرار مقابل قواعد بيانات CVE، بإعادة الاستعلام عن حالة الثغرات لجميع المكونات كلما نُشرت CVEs جديدة، فتوفر رؤية مستمرة لسلسلة التوريد لا تستطيع المراجعة اليدوية الدورية توفيرها.

لماذا يهم هذا

تهمّ أتمتة SBOM TPRM لأن القيمة المعلوماتية لبرنامج SBOM تتناسب مع السرعة التي تؤدي بها CVEs الجديدة في المخزون إلى وعي المؤسسة واتخاذها إجراءً. فالبرنامج الذي يراجع SBOMs سنويًا عند إعادة التقييم يوفر الوعي بـCVE بتأخر اثني عشر شهرًا، أما البرنامج المؤتمت الذي يراقب المخزون مقابل قواعد بيانات CVE باستمرار فيوفر الوعي في غضون ساعات من نشر CVE.

• جمع SBOMs بوصفها وثائق دون تحليلها إلى مخزون قابل للاستعلام
• تنوّع الصيغ الذي يحول دون التحليل الآلي
• غياب المراقبة المستمرة لـCVE مقابل مخزونات SBOM المجمّعة
• عدم تتبّع عمر SBOM وحداثة إصدارها
• جمع SBOM بوصفه نشاط امتثال لا معلومات عن سلسلة التوريد

كيف تبدو الممارسة الجيدة

تعتمد برامج أتمتة SBOM الناضجة صيغة CycloneDX JSON معيارًا موحدًا، وتُدخل SBOMs في منصة مثل Dependency-Track تراقب مخزونات المكونات باستمرار مقابل قواعد بيانات CVE، وتتتبع حداثة إصدار SBOM، وتولّد تنبيهات آلية حين تؤثر CVEs جديدة في مكونات أي SBOM مُدخلة.

• اشتراط صيغة SBOM موحّدة: CycloneDX JSON من جميع الموردين
• الإدخال الآلي لـSBOM في Dependency-Track أو منصة مماثلة
• المراقبة المستمرة لـCVE مقابل جميع مخزونات المكونات المُدخلة
• تتبّع حداثة إصدار SBOM: التنبيه حين يتجاوز عمر SBOM الحد المقرر
• تنبيهات CVE آلية إلى مالكي علاقات الموردين حين تؤثر CVEs في مخزونهم

الأدوات

إدارة SBOM: Dependency-Track للإدخال الآلي لـSBOM والمراقبة المستمرة لـCVE

Dependency-Track منصة مفتوحة المصدر لإدارة SBOM تُدخل SBOMs بصيغتي CycloneDX وSPDX، وتراقب باستمرار مخزونات مكوناتها مقابل قواعد بيانات الثغرات بما فيها NVD وOSV وGitHub Advisories. وحين تُنشر CVE جديدة، تستعلم Dependency-Track تلقائيًا في جميع SBOMs المُدخلة وتحدد المكونات المتأثرة. وبالنسبة لبرامج TPRM، توفر Dependency-Track طبقة المراقبة المستمرة التي تحوّل مجموعة وثائق ثابتة إلى نظام ديناميكي لمعلومات سلسلة التوريد.

توليد SBOM: Syft وcdxgen للتوليد الآلي لـSBOM؛ وcyclonedx-cli لتحويل الصيغ

بالنسبة للموردين الذين يقدّمون SBOMs بصيغ غير قياسية، يمكن لأدوات تحويل الصيغ التحويل بين صيغ SBOM، بما يتيح إدخالها في المنصات الموحّدة بصرف النظر عن صيغة مخرجات المورّد. وتوفر أداة cyclonedx-cli التحويل بين صيغتي SPDX وCycloneDX.

تحديات الحوكمة

يتمثل تحدي الحوكمة في أتمتة SBOM في متطلب امتثال الموردين. فمطالبة الموردين بتقديم SBOMs بصيغة CycloneDX JSON بدلًا من أي صيغة مناسبة لهم تنقل عبء التوحيد إلى الموردين بدلًا من المؤسسة. وسيمتثل بعض الموردين بسهولة، وسيقاوم آخرون. ويكمن حل الحوكمة في التطبيق المتدرّج: اشتراط SBOMs قابلة للقراءة آليًا من موردي المستوى الحيوي فورًا، ثم التوسع إلى المستويات الأخرى مع تزايد امتثال الموردين.

• اشترط صيغة CycloneDX JSON من موردي المستوى الحيوي
• طبّق Dependency-Track أو ما يعادلها للإدارة الآلية لـSBOM
• اضبط المراقبة المستمرة لـCVE مقابل جميع SBOMs المُدخلة
• تتبّع حداثة إصدار SBOM واطلب التحديثات حين يتجاوز عمر SBOMs الحد المقرر
• أتمت توجيه تنبيهات CVE إلى مالكي علاقات الموردين

إذا كنت فريقًا صغيرًا

انشر Dependency-Track، فهي مجانية ومفتوحة المصدر ويمكن تشغيلها في بيئتك خلال يوم واحد. ثم خذ أحدث عشر SBOMs تلقيتها من الموردين الحيويين وأعد طلبها بصيغة CycloneDX JSON إن لم تكن بهذه الصيغة أصلًا. أدخِل العشر جميعها في Dependency-Track واضبط مراقبة CVE. وفي غضون 24 ساعة سيكون لديك مخزون لسلسلة التوريد يخضع لمراقبة مستمرة لهؤلاء الموردين العشرة، يوفر رؤية لسلسلة التوريد تفوق ما يمكن أن تنتجه سنوات من جمع الوثائق.

• انشر Dependency-Track لإدارة SBOM
• أعد طلب SBOMs من الموردين الحيويين بصيغة CycloneDX JSON
• أدخِلها في Dependency-Track واضبط المراقبة المستمرة لـCVE
• أتمت توجيه تنبيهات CVE إلى مالكي علاقات الموردين

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

"هل يمكنكم تقديم SBOM الخاصة بكم بصيغة CycloneDX JSON، خاصة بالإصدار الذي نشغّله؟ وهل لديكم عملية لإخطارنا استباقيًا حين تُنشر CVE جديدة لمكوّن في برمجياتكم؟"

ما تتوقعه دليلًا

• SBOM بصيغة CycloneDX JSON للإصدار المنشور حاليًا
• عملية الإخطار بـCVE لثغرات المكونات
• وتيرة تحديث SBOM: عدد مرات تحديثها
• القدرة على الإخطار الآلي بالثغرات

ينبغي أن يُطلب من المورّد الذي يقدّم SBOM تقديمها بصيغة CycloneDX JSON، وأن يُسأل عن عملية الإخطار بـCVE لديه. فصيغة CycloneDX JSON تتيح الأتمتة، والإخطار بـCVE يوفر المعلومات الاستباقية التي لا تستطيع المراجعة السنوية المتأخرة توفيرها.

كيف تُثبت ذلك

• نشر Dependency-Track أو ما يعادلها
• جمع SBOM بصيغة CycloneDX JSON
• سجلات المراقبة المستمرة لـCVE
• عملية التنبيه والاستجابة بشأن CVE

الخلاصة الرئيسية

847 وثيقة SBOM. 7 صيغ. 93% لم تُحلَّل قط. 41% يتجاوز عمرها 12 شهرًا. الرؤية في سلسلة التوريد: معدومة. جمع البرنامج أدلة امتثال، لكنه لم يبنِ معلومات عن سلسلة التوريد. تتحقق قيمة SBOM عند نشر CVE، حين يحدد المخزون فورًا برمجيات أي مورّد متأثرة. وتتطلب تلك القيمة: صيغة قابلة للقراءة آليًا، وإدخالًا آليًا، ومراقبة مستمرة لـCVE، وحداثة في الإصدار. Dependency-Track مجانية ويمكن تشغيلها في اليوم نفسه. وCycloneDX JSON هي معيار الصيغة. والمراقبة المستمرة هي القدرة التي تحوّل جمع الوثائق إلى معلومات.