قائمة مكونات البرمجيات: ما بعد الإلزام

قائمة مكونات البرمجيات مخزون منظم للمكونات التي يتألف منها منتج برمجي: المكتبات مفتوحة المصدر، والتبعيات التجارية، والوحدات الداخلية التي تشكّل معًا التنفيذ الوظيفي للبرمجيات. وقد دفع الأمر التنفيذي الأمريكي 14028، وقانون المرونة السيبرانية للاتحاد الأوروبي، والمتطلبات التنظيمية القطاعية، إلى اعتماد واسع لـSBOM في السنوات الأخيرة، وأصبحت مؤسسات كثيرة تطلب SBOMs من موردي البرمجيات لديها بوصف ذلك نشاط تقييم معتادًا. وما أنتجته هذه المتطلبات الإلزامية هو توليد واسع لـSBOM دون تركيز مماثل على جودة SBOM أو حداثتها أو قابليتها للتنفيذ: فالوثيقة موجودة، لكنها كثيرًا لا تخدم غرض إدارة المخاطر الذي يُفترض أن تمكّنه.

تمثّل مشكلة الحداثة أكثر مشكلات جودة SBOM إلحاحًا. فمنتجات البرمجيات تتطور باستمرار، إذ تُضاف التبعيات وتُحدَّث وتُزال مع كل إصدار. وSBOM التي وُلّدت قبل ستة أشهر تصف مجموعة مكونات إصدار عمره ستة أشهر. فإذا كانت المؤسسة تشغّل الإصدار الحالي من البرمجيات، فقد لا تمثل SBOM التي عمرها ستة أشهر المكونات المنشورة فعليًا تمثيلًا دقيقًا. ولأغراض إدارة الثغرات، فإن SBOM التي لا تعكس الإصدار المنشور حاليًا هي مخزون للمكونات الخاطئة. وينبغي أن تكون SBOM خاصة بالإصدار وأن تُحدَّث مع كل إصدار.

تمثّل فجوة حالة الثغرات البُعد الثاني للجودة. فـSBOM التي تسرد المكونات وإصداراتها دون معلومات عن حالة الثغرات هي مخزون للمكونات، لا وثيقة لإدارة المخاطر. والمؤسسة التي تتلقى SBOM تضم 847 مكوّنًا يجب أن تستعلم بشكل مستقل في قاعدة بيانات للثغرات، مثل NVD أو OSV أو ما يعادلهما، لتحديد المكونات ذات الثغرات المعروفة. أما SBOM التي تتضمن معلومات حالة الثغرات، أي تعليقات VEX (Vulnerability Exploitability eXchange)، فتخبر المستهلك بالثغرات المعروفة التي تؤثر في المكونات المدرجة، وأيها في مكونات أكّد المورّد أنها غير قابلة للاستغلال في بيئة النشر لديه، وأيها عولج. ويوفر الجمع بين SBOM وVEX صورة للثغرات قابلة للتنفيذ لا توفرها SBOM وحدها.

لماذا يهم هذا

تهمّ جودة SBOM TPRM لأن SBOM القديمة أو غير المكتملة أو التي تفتقر إلى معلومات حالة الثغرات توفر مظهر الشفافية في سلسلة التوريد دون جوهرها. والمؤسسة التي تجمع SBOMs من الموردين وتخزّنها دون مراجعة حداثتها واكتمالها وانعكاساتها على الثغرات لديها خزانة ملفات مليئة بوثائق الامتثال دون أي معلومات إضافية عن مخاطر سلسلة التوريد.

• جمع SBOM دون التحقق من حداثتها: SBOM عمرها ستة أشهر لبرمجيات حالية
• غياب حالة الثغرات: SBOM دون VEX تتطلب استعلامًا مستقلًا عن الثغرات
• غياب عملية مراجعة SBOM: جمع الوثائق دون تحليلها
• عدم اتخاذ إجراء بشأن الثغرات المعروفة في SBOM: مدرجة لكن لا يُتتبَّع علاجها
• غياب معلومات التراخيص: عدم معالجة مخاطر الامتثال وIP

كيف تبدو الممارسة الجيدة

تطلب برامج SBOM الناضجة SBOMs خاصة بالإصدار مع كل إصدار رئيسي، وتراجع SBOMs بحثًا عن الثغرات الحرجة المعروفة باستخدام أدوات آلية، وتطلب معلومات VEX للمكونات ذات الثغرات المعروفة، وتتتبع حداثة SBOM بوصفها مقياسًا لسلامة البرنامج.

• SBOM خاصة بالإصدار ومرتبطة بإصدار البرمجيات المنشور
• الفحص الآلي لثغرات SBOMs المستلمة مقابل NVD/OSV
• طلب VEX للمكونات ذات الثغرات المعروفة: سياق قابلية الاستغلال
• مراجعة التراخيص للامتثال لتراخيص البرمجيات مفتوحة المصدر
• تتبّع حداثة SBOM: عمر SBOM نسبةً إلى الإصدار المنشور

الأدوات

تحليل SBOM: Dependency-Track، وGrype، وTrivy لفحص ثغرات SBOM

يمكن لأدوات تحليل SBOM إدخال SBOMs بصيغة CycloneDX أو SPDX وفحص مكوناتها آليًا مقابل قواعد بيانات الثغرات، فتحدد الثغرات المعروفة في المكونات المدرجة دون الحاجة إلى استعلامات يدوية في قواعد البيانات. وتوفر Dependency-Track إدارة دائمة لـSBOM مع مراقبة آلية للثغرات. وبالنسبة لبرامج TPRM التي تتلقى SBOMs من الموردين، تحوّل هذه الأدوات الوثيقة إلى صورة للثغرات قابلة للتنفيذ.

أدوات VEX: OpenVEX، وCycloneDX VEX لتبادل معلومات قابلية استغلال الثغرات

توفر وثائق VEX سياق قابلية استغلال الثغرات إلى جانب قوائم مكونات SBOM، فتحدد أي الثغرات المعروفة في المكونات المدرجة غير قابلة للاستغلال في إعدادات النشر لدى المورّد. وطلب VEX إلى جانب SBOM للمكونات ذات الثغرات الحرجة المعروفة يحوّل قائمة الثغرات إلى أولويات معالجة قابلة للتنفيذ.

تحديات الحوكمة

يتمثل تحدي الحوكمة في برامج SBOM في متطلبات الحجم والأدوات. فقد تضم منتجات البرمجيات الكبيرة مئات أو آلاف المكونات، والمراجعة اليدوية لـSBOM تضم 847 مكوّنًا مقابل قواعد بيانات الثغرات ليست نهجًا عمليًا. وأدوات التحليل الآلي لـSBOM هي آلية الحوكمة التي تحوّل جمع SBOM من نشاط امتثال إلى نشاط لمعلومات المخاطر.

• طبّق أدوات تحليل آلي لـSBOM على جميع SBOMs المستلمة
• اطلب SBOMs خاصة بالإصدار ومرتبطة بالإصدار المنشور
• اطلب VEX للمكونات ذات الثغرات الحرجة المعروفة
• تتبّع الثغرات المعروفة المحددة في SBOMs لمتابعة معالجتها لدى المورّد
• حدّد معيارًا لحداثة SBOM: تُعلَّم SBOMs التي يزيد عمرها على 90 يومًا بوصفها قد تكون قديمة

إذا كنت فريقًا صغيرًا

خذ أحدث SBOM تلقيتها من مورّد البرمجيات الأعلى خطورة لديك. مرّرها عبر Grype أو Trivy، وكلتاهما أداة مجانية مفتوحة المصدر يمكنها فحص SBOMs مقابل قواعد بيانات الثغرات في دقائق. راجع المخرجات بحثًا عن الثغرات الحرجة وعالية الخطورة. ثم تحقّق من تاريخ توليد SBOM ومما إذا كانت خاصة بالإصدار المنشور لديك. سينتج هذا التحليل الذي يستغرق خمس عشرة دقيقة معلومات قابلة للتنفيذ عن سلسلة التوريد تفوق ما ينتجه مجرد تأكيد تقديم SBOM.

• مرّر SBOMs المستلمة عبر Grype أو Trivy لفحص الثغرات
• تحقّق من حداثة SBOM: تاريخ التوليد مقابل إصدار البرمجيات المنشور
• اطلب VEX للثغرات الحرجة التي تُحدَّد
• تتبّع معالجة المورّد للثغرات الحرجة المحددة عبر SBOM

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

"هل يمكنكم تقديم SBOM خاصة بالإصدار بصيغة CycloneDX أو SPDX ومرتبطة بالإصدار الذي نشغّله؟ وبالنسبة لأي مكونات ذات ثغرات حرجة معروفة، هل يمكنكم تقديم وثائق VEX تؤكد حالة قابلية الاستغلال في إعدادات النشر لديكم؟"

ما تتوقعه دليلًا

• SBOM خاصة بالإصدار بصيغة قياسية (CycloneDX أو SPDX)
• وثائق VEX للمكونات ذات الثغرات الحرجة المعروفة
• عملية توليد SBOM ووتيرة تحديثها
• معلومات التراخيص للمكونات مفتوحة المصدر

ينبغي سؤال المورّد الذي يقدّم SBOM عمّا إذا كانت خاصة بالإصدار، وعمّا إذا كانت VEX متاحة للثغرات المعروفة. فـSBOM دون حداثة ودون VEX هي وثيقة امتثال شكلية، أما SBOM التي تتضمن الأمرين فهي أداة لإدارة المخاطر.

كيف تُثبت ذلك

• سجلات الفحص الآلي لثغرات SBOM
• التحقق من حداثة SBOM
• سجلات طلب VEX ومراجعتها
• تتبّع معالجة المورّد للثغرات المستخلصة من نتائج SBOM

الخلاصة الرئيسية

قُدّمت SBOM. 847 مكوّنًا. 14 منها بثغرات حرجة معروفة وقت التوليد. عمر SBOM: 6 أشهر. حالة الثغرات: غير مدرجة. كانت SBOM موجودة ولبّت الطلب التنظيمي بتقديمها. ووجدت المراجعة الأولى للجهة التنظيمية ثلاث مشكلات. أنتج الإلزام الوثيقة، لكنه لم ينتج الحداثة ولا حالة الثغرات ولا الإجراء الذي يجعل الوثيقة مفيدة. إن SBOMs الخاصة بالإصدار، وVEX للثغرات المعروفة، والفحص الآلي لـSBOMs المستلمة، تحوّل وثيقة الامتثال الشكلية إلى معلومات عن مخاطر سلسلة التوريد.