DevSecOps ve Yazılım Tedarik Zinciri
SBOM Yönetimi
Her sürümünüz için SBOM'u derleme sırasında üreten bir düzen kuruyoruz. Yeni bir zafiyet duyurulduğunda, etkilenen ürün ve sürümleri tek sorguda bulursunuz.
Nedir?
SBOM, bir yazılım sürümündeki bileşenlerin ve tedarik zinciri ilişkilerinin standart biçimli kaydıdır. SPDX (ISO/IEC 5962:2021) ve CycloneDX (ECMA-424) bu kayıt için kullanılan iki standarttır. Değeri, her sürümde derleme sırasında üretilip saklanmasından ve sorgulanabilmesinden gelir. Böylece yeni bir zafiyetin etkisi, ekiplere tek tek sorulmadan belirlenir.
Kapsam
- Her derlemede SPDX veya CycloneDX biçiminde SBOM üretimi
- Konteyner imajları ve satın alınan yazılımlar için SBOM toplanması
- SBOM'ların ilgili sürümle eşlenerek saklanması ve sorgulanması
- Yeni duyurulan zafiyetlerin SBOM'larla sürekli eşleştirilmesi
- Etkilenmeyen ürünler için VEX beyanı
- SBOM'un müşteri ve denetçiyle paylaşım kuralları
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- AB pazarına yazılım içeren ürün sunarken Siber Dayanıklılık Tüzüğü'nün istediği SBOM'a hazırlanmanız gerektiğinde.
- Kurumsal bir müşteri veya ihale şartnamesi, teslim ettiğiniz yazılımın SBOM'unu istediğinde.
- Kritik bir kütüphane zafiyeti duyurulduğunda etkilenen ürünleri bulmak günler sürdüğünde.
Yöntem
Nasıl çalışıyoruz?
-
Kaynaklar
Ürünlerinizi, derleme hatlarını ve dağıtılan imajları listeleriz.
-
Üretim
SBOM üretimini her derlemeye ekler, biçimi ve asgari içeriği belirleriz.
-
Saklama ve eşleştirme
SBOM'ları sürümle eşleyerek saklar, yeni zafiyetlerle otomatik eşleştirmeyi kurarız.
-
Yanıt süreci
Bir eşleşme çıktığında kimin değerlendireceğini ve müşterilere nasıl bilgi verileceğini yazarız.
Sonuç
Çalışmanın sonunda elinizde olan
Her sürümün SBOM'u üretilmiş ve saklanmıştır. Yeni bir zafiyet duyurulduğunda etkilenen ürün ve sürümler sorguyla bulunur ve müşterilerinize gerekçeli bir yanıt verilir.
Sık sorulan sorular
SBOM'u herkese açıklamak zorunda mıyız?
Siber Dayanıklılık Tüzüğü, SBOM'un hazırlanmasını ve teknik dokümantasyonda yer almasını ister. Kamuya açıklanmasını zorunlu tutmaz. Müşterilerle paylaşım sözleşmelerinize ve politikanıza göre belirlenir.
VEX nedir, neden gerekir?
VEX, bir ürünün belirli bir zafiyetten etkilenip etkilenmediğini bildiren, makine tarafından okunabilir bir beyandır. SBOM'da zafiyetli bir bileşen görünse bile ürün etkilenmiyorsa, bunu gerekçesiyle müşterinize bildirmenizi sağlar.
SBOM'u bir kez üretmek yeterli mi?
Hayır. Bileşenler her sürümde değişir. SBOM her derlemede yeniden üretilmeli ve ilgili sürümle birlikte saklanmalıdır.
DevSecOps ve Yazılım Tedarik Zinciri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın