微软宣布开源SBOM软件物料清单生成工具

0 cnBeta.COM 2022-07-15 17:55:41

摘要：

在周二的一篇开发者博客中，微软 One Engineering System（1ES）产品主管 Danesh Kumar Badlani 与 1ES 首席项目主管 Adrian Diglio 隆重宣布了 Salus 软件物料清单（SBOM）生成工具的已经走向开源。据悉，作为响应改善国家网络安全的一道行政命令的最新举措，其有助于组织机构建立起对其供应链依赖关系的洞察力。

截图（来自：GitHub）

作为一款通用的、经过企业验证、构建时（build-time）的 SBOM 生成器，SBOM 适用于包括 Windows、Linux 和 Mac 在内的平台，并且采用了标准的软件包数据交换（SPDX）格式。

Salus 能够轻松集成到软件的构建工作流程中，并通过组件自动检测 NPM、NuGet、PyPI、CocoaPods、Maven、Golang、Rust Crates、RubyGems、容器内的 Linux 包、Gradle、Ivy、以及 GitHub 等公共平台上的存储。

随着时间的推移，微软还会持续改进 SBOM 工具、并添加更多的检测组件。

分层构建流程示意图

Salus 生成的 SBOM，包含了基于 SPDX 规范的四个主要部分。

● 文档创建信息：例如软件名称、SPDX 版本 / 许可证、文档创建者、创建时间等。
● 文件部分：组成软件的文件列表，每个文件都包含有一些属性、以及 SHA-1 / SHA-256 内容哈希值。
● 包部分：构建软件时使用的包列表，每个包都具有名称、版本、供应商、哈希值、包 URL（purl）、软件标识符等属性。
● 关系部分：SBOM 不同元素之间的关系列表，比如文件和包。

值得一提的是，Salus 还可参考其他 SBOM 文档来捕获完整的依赖关系树。