배포 파일과 구성 목록의 대상을 맞춥니다

SBOM은 소프트웨어에 포함된 구성 요소를 파악하는 자료입니다. 제품 이름만 같은 오래된 목록을 현재 배포 파일의 목록으로 사용하지 않도록 버전과 식별 정보를 확인합니다.

직접 포함된 코드와 간접 의존성 및 실행 환경을 구분합니다. 목록이 있다는 사실은 구성 요소의 안전성이나 모든 취약점의 부재를 증명하지 않습니다.

취약점의 존재와 제품에 미치는 영향을 나눕니다

VEX는 특정 제품이 알려진 취약점의 영향을 받는지에 관한 설명을 제공합니다. 영향을 받지 않는다는 결론에는 대상 버전과 조건 및 판단 근거가 필요합니다.

VEX는 구성 목록을 대체하지 않습니다. 새 취약점이나 제품 구성 변경으로 이전 판단의 적용 범위가 달라질 수 있으므로 발행자와 갱신 시점도 함께 확인합니다.

SLSA는 소프트웨어 공급망의 신뢰성을 높이기 위한 요구사항과 출처 증거를 다룹니다. 수준은 해당 트랙과 명세 버전을 함께 읽어야 하며 한 숫자로 모든 보안을 평가하지 않습니다.

출처 증거가 실제 받은 파일을 가리키는지, 신뢰하는 빌더가 발행했는지와 허용한 소스 및 빌드 조건인지 검증합니다. 서명이 존재한다는 사실과 서명자를 신뢰한다는 판단을 구분합니다.

구성 목록, 취약점 영향 설명과 빌드 출처는 서로 보완하지만 프로그램의 모든 동작이 안전하다는 결론은 아닙니다. 권한과 설정 및 실행 중의 이상 동작은 별도로 확인합니다.

실제 배포 결정에는 검사 결과와 예외 사유 및 담당 판단을 남깁니다. 검사가 실패했을 때 잠금값만 바꾸거나 검사를 생략해 통과로 기록하지 않습니다.