SBOM-Erstellung automatisieren
Wie man schnell eine präzise Software-Stückliste (SBOM) erstellt
Als Reaktion auf Cyberangriffe wird die SBOM zu einem unverzichtbaren Instrument für Hersteller, Sicherheitsforscher und Nutzer.
Was ist der Nutzen einer SBOM?
Unterstützt durch globale Initiativen wie den europäischen Cyber Resilience Act und ähnliche Gesetze betont der BSI mit seiner Richtlinie, TR-03183-Teil 2, zur Implementierung von Software-Stücklisten die Dringlichkeit, gemeinsame Standards zu etablieren.
Was ist in einem SBOM enthalten?
- Inventar aller Open-Source-Komponenten
- Komponentendetails (Version, Freigabedatum, etc.)
- Sicherheitsschwachstellen (CVEs) und Kritikfähigkeit
- Lizenzen und Risikostufen
- Mögliche Lizenzierungskonflikte
- Transitive Abhängigkeiten
- Software-Schwachstellen (CWEs)
- Empfehlungen für sicherere Komponentenversionen
Wie automatisiert man die SBOM-Erstellung?
CAST Highlight, ein Software-Intelligence-Produkt, lässt sich direkt in Quellcode-Repositories einbinden und analysiert Anwendungen innerhalb von Minuten, ohne dabei die Entwickler zu stören. Es führt eine Software Composition Analysis (SCA) eines Anwendungsportfolios durch und erstellt automatisch ein vollständiges Inventar der in der Codebasis verwendeten Drittanbieter- und Open Source-Komponenten, einschließlich der Lizenzversionen. Es zeigt Lizenzierungsrisiken und Sicherheitsschwachstellen auf und gibt Empfehlungen zu den wichtigsten erforderlichen Abhilfemaßnahmen. Die SBOMs können in Excel, Word, PPT und CycloneDX angezeigt und exportiert werden.
Sie möchten eine bereits vorhandende SBOM-Datei einlesen?
Unternehmen müssen oft eine bestehende SBOM-Datei aus einer externen Quelle, z. B. von einem Softwarehersteller, einlesen. CAST Highlight liest auch automatisch eine importierte SBOM im CycloneDX-Format und generiert alle dieselben SCA-Insights, selbst wenn die Anwendung nicht direkt von CAST Highlight analysiert wird.
SBOM-Best Practice:
Wie Broadridge mit der SBOM-Automatisierung Prozesse erheblich beschleunigt.
Die Erfahrungen unserer Kunden
Mit CAST Highlight konnten wir die OSS-Risiken für alle unsere Anwendungen innerhalb von Minuten bewerten, anstatt Hunderte von Stunden zu benötigen.
Marilyn Hartnett
VP, Open Source Governance
Wir haben Alternativen ausprobiert. Wir empfehlen CAST Highlight aufgrund seiner Schnelligkeit und der geringeren Kosten.
Keith MacKay
Managing Director
