• 151572

    文章

  • 1250

    评论

  • 10

    友链

  • 最近新加了换肤功能,大家多来逛逛吧~~~~
  • 喜欢这个网站的朋友可以加一下QQ群,我们一起交流技术。

版本升级 | OpenSCA v1.0.8版本发布 支持生成SPDX格式的软件物料清单

近日,OpenSCA新版本v1.0.8正式发布,重磅功能持续更新,满足用户更多需求。

  1. V1.0.8 更新内容

支持生成SPDX格式的软件物料清单

2. 构建详细软件物料清单,透明化供应链软件资产

2.1 软件物料清单介绍 

软件物料清单(SBOM,Software Bills of Materials)是描述软件包依赖树的一系列元数据,包括供应商名称、组件名称、版本号、许可证信息、依赖关系等关键信息,通过这些关键信息来构建详细的物料清单,帮助企业或团队梳理并透明化软件供应链资产。目前业界主流的生成SBOM的格式有软件包数据交换 (SPDX)、软件标识 (SWID)标记和OWASP CycloneDX等。

OpenSCA本版本支持的SPDX是由Linux基金会运营的一项国际公认的软件物料清单开放标准(ISO/IEC 5962:2021)。SPDX通过梳理与软件相关的组件、许可证、版权和安全相关数据等元数据,来提高许可证合规性、供应链的透明度和安全性。

2.2 为什么需要SBOM 

  • 梳理、透明化软件资产
  • 组件漏洞风险、许可证风险管控治理
  • 提高软件供应链安全性,防止软件供应链攻击

2.3 使用OpenSCA自动化构建生成SBOM 

通过使用OpenSCA自动化构建并生成应用程序的SBOM,在每次添加、删除依赖项或更改组件版本时自动更新SBOM以确保SBOM的准确性。

2.3.1 使用流程

访问OpenSCA开源项目,下载OpenSCA最新版本:

https://gitee.com/XmirrorSecurity/OpenSCA-cli/releases

https://github.com/XmirrorSecurity/OpenSCA-cli/releases

具体使用流程,请参考OpenSCA使用攻略。

2.3.2 生成SPDX

支持生成 .spdx、.spdx.json、.spdx.xml文件格式的SPDX规范,以生成.spdx.json为例,将导出报告的文件格式后缀改为.spdx.json :

# Windows执行命令opensca-cli.exe -url https://opensca.xmirror.cn -token ${token} -path ${project_path} -out output.spdx.json

2.3.3 结果示例

图:生成SPDX结果示例

2.4 SBOM展望 

SBOM已成为软件安全和软件供应链风险管理的关键组成部分,它可以帮助企业、团队或个人更全面地了解软件供应链以及其中可能存在的安全性、合规性和质量等风险,并快速识别和修复潜在的安全漏洞,进而提高软件供应链的安全性。

Gartner在2020年的“应用程序安全测试魔力象限”中预测:到2024年,至少一半的企业软件买家要求软件供应商必须提供详细的、定期更新的SBOM,同时60%的企业将为他们创建的所有应用程序和服务自动构建SBOM。

尽管SBOM对于许多企业来说依然很陌生,甚至在国内并未形成规范,但其需求却在不断增长,未来也会有越来越多的企业要求其供应商提供SBOM,SBOM的管理也将帮助软件公司在市场上保持一定的竞争力。

3. 参与和贡献,共建开源项目

感谢每一位开源社区成员对OpenSCA的支持和贡献。我们鼓励更多伙伴参与到OpenSCA开源项目的建设中来,成为开源贡献者,有任何建议都可以发在评论区或者Gitee、GitHub上OpenSCA项目的Issues中。让我们一起拥抱开源,共筑开源安全生态,促进开源产业健康发展。OpenSCA是悬镜安全旗下源鉴OSS开源威胁管控产品的开源版本,继承了源鉴OSS的多源SCA开源应用安全缺陷检测等核心能力。OpenSCA用开源的方式做开源风险治理,致力于做软件供应链安全的护航者,守护中国软件供应链安全。OpenSCA的代码会在GitHub和Gitee持续迭代,欢迎Star和PR,成为我们的开源贡献者,也可提交问题或建议至Issues。我们会参考大家的建议不断完善OpenSCA开源项目,敬请期待更多功能的支持。

GitHub:

https://github.com/XmirrorSecurity/OpenSCA-cli/releases 

Gitee:

https://gitee.com/XmirrorSecurity/OpenSCA-cli/releases 

OpenSCA官网:

https://opensca.xmirror.cn/

欢迎大家扫码联系小镜

加入OpenSCA社区技术交流群


695856371Web网页设计师②群 | 喜欢本站的朋友可以收藏本站,或者加入我们大家一起来交流技术!

自定义皮肤 主体内容背景
打开支付宝扫码付款购买视频教程
遇到问题联系客服QQ:419400980
注册梁钟霖个人博客