SBOM 소프트웨어 자재 명세서

SBOM은 소프트웨어를 이루는 구성 요소와 관련 정보를 정리한 소프트웨어 자재 명세서입니다.

이름, 버전과 구성 관계 등의 정보를 교환해 어떤 구성 요소가 포함됐는지 추적하는 데 사용합니다. 생성 위치와 자료 범위에 따라 내용의 완전성이 달라집니다.

새 취약점이 공개됐을 때 배포한 제품의 구성 목록에서 해당 구성 요소와 버전이 있는지 찾는 데 활용할 수 있습니다.

SPDX와 CycloneDX는 SBOM 정보를 표현하는 대표적인 형식입니다. 개발 소스의 목록과 실제 배포 산출물의 목록은 같지 않을 수 있습니다.

명세서가 있다는 사실이 무취약점이나 공급망의 신뢰를 보장하지는 않습니다. 생성 시각, 대상 빌드와 서명 및 구성 관계를 확인하고 분석 결과와 구분합니다.

이 절의 용어: SPDX / SPDX 명세 형식

SPDX는 소프트웨어 구성과 관련 정보를 표현하고 교환하는 표준화된 형식과 데이터 모델의 체계입니다. 사용하는 판에 따라 구조와 표현 범위가 다를 수 있습니다. 파일 형식 이름만 확인하지 말고 실제 대상 빌드와 구성 요소 및 관계의 완전성을 검증해야 합니다.

이 절의 용어: CycloneDX / CycloneDX 명세 형식

CycloneDX는 소프트웨어 구성 요소와 공급망 관련 정보를 표현하는 BOM 표준 체계입니다. 사용하는 규격 판과 도구 지원에 따라 표현 가능한 정보가 달라집니다. 명세서의 생성만으로 구성 요소의 무취약점이나 공급망의 신뢰가 보장되는 것은 아닙니다.

SBOM은 구성 요소의 목록이고 VEX는 알려진 취약점이 특정 제품에 미치는 영향에 관한 설명입니다. 구성 요소가 포함됐다는 사실만으로 모든 취약점이 실제 실행 경로에서 악용되는 것은 아닙니다.

제품의 대상 버전과 조건을 특정한 VEX를 SBOM과 대조할 수 있습니다. 영향을 받지 않는다는 주장에는 근거와 적용 범위가 필요하며 오래된 판단을 다른 버전에 그대로 적용하지 않습니다.

SLSA는 빌드 과정과 출처 증거의 신뢰에 관계합니다. 구성 목록, 취약점 영향과 빌드 출처는 구분되며 서로를 완전히 대체하지 않습니다.

문서 발행자와 갱신 시점 및 실제 배포 파일의 연결을 확인합니다. 어느 한 자료가 있다는 사실을 모든 보안 검사가 완료됐다는 의미로 사용하지 않습니다.

이 절의 용어: VEX / Vulnerability Exploitability eXchange / 취약점 활용 가능성 정보

VEX는 알려진 취약점이 특정 제품이나 구성에 영향을 주는지에 대한 정보를 전달하는 방식입니다. SBOM이 어떤 구성품이 들어 있는지 설명한다면 VEX는 그 구성품의 취약점이 실제 사용 조건에 적용되는지 판단하는 정보를 보완합니다. 영향 없음이라는 상태도 근거와 제품 버전 및 평가 시점이 있어야 합니다. VEX 문서가 있다는 이유만으로 모든 취약점이나 향후 공격으로부터 안전하다고 판단하지 않습니다.

www.cisa.gov: vex