在此版本中
- C/C++ 函式庫的改進
- 利用 PE 資訊偵測 DLL/EXE 程式庫
- 為 C/C++ 函式庫增加更多簽章
- 支援處理 CycloneDX 檔案格式
在 SBOM軟體物料清單）技術 4.0.0 版的最新增強功能中，我們擴大了二進位元件（如 DLL 和 EXE 檔案）的資料庫涵蓋範圍，透過 PE（可移植可執行檔案）元資料改善了二進位元件的識別，並啟用了 CycloneDX SBOM 報告的驗證和豐富功能。
二元盲點
傳統的 SBOM 解決方案主要依賴套件管理員和清單檔案 (例如 requirements.txt、package.json) 來識別第三方元件。雖然對許多現代應用程式來說都很有效，但這種方法卻留下了很大的盲點，尤其是在下列情況：
- 未一致使用套件管理程式的專案：C/C++ 專案若包含未被套件管理員追蹤的 DLL 函式庫，則 SBOM 產生工具仍無法看到這些函式庫。
- 包含內嵌第三方二進位檔的Software 安裝程式：安裝程式通常包含沒有明確 metadata 的協力廠商二進位相依性，因此難以追蹤。
- 工件資源庫中的二進位格式庫：像 JFrog Artifactory、Nexus Repository 或 Apache Archiva 之類的工件資源庫以二進位格式 (whl、egg、zip) 而非原始碼來儲存函式庫。這些二進位套件也缺乏聲明，這也限制了傳統 SBOM 的可見性。
這些缺口會造成安全風險 - 二進位相依性不被察覺、安裝套件未經檢查，以及無法追蹤未宣告相依性中的弱點。
消除 SBOM 二進位安全缺口
為了解決這些關鍵盲點，OPSWAT SBOM 4.0.0 透過多種互補方式提供增強的功能：
擴充二進位元件的資料庫覆蓋範圍
我們已大幅擴充 C、C++ 及 C# 二進位檔案 (DLLs, EXEs) 的簽章資料庫。即使在套件管理員元資料不可用的情況下，Software 開發團隊仍可辨識內嵌的第三方函式庫。
透過此更新，OPSWAT SBOM 可確保對原始碼、編譯後的二進位檔和軟體安裝程式進行全面的元件追蹤。
利用元資料分析進行精確的圖書館識別
我們的新版本利用 PE (Portable Executable) 元資料分析來識別二進位檔案，並將它們與已知的漏洞和授權資料庫相匹配。這種自動化的方法取代了以往手動、費時且容易出錯的程序。
如何運作：
- OPSWAT SBOM 會利用第三方程式庫的簽章和 PE (可攜式可執行檔) 元資料，偵測二進位形式的第三方程式庫 (DLL、EXE)。
- 擷取的二進位資訊會對應到已知的程式庫和版本
- 這些發現會與我們的弱點和授權資料庫進行交叉比對。
好處：
- 識別第三方元件，包括手動管理的 C/C++ 函式庫和安裝套件
- 使用元資料分析提高識別二進位元件的精確度
- 即使沒有套件管理員宣告，也能偵測到相依性，以降低安全風險
- 啟用全面的弱點管理和安全評估
利用元資料分析進行精確的圖書館識別
整合 SBOM 與製成品儲存庫
除了直接掃描二進位函式庫之外，OPSWAT SBOM 和MetaDefender Software 供Supply Chain 支援與 JFrog Artifactory 等藝術品儲存庫的本機整合，以掃描原始套件並擷取其元資料。進一步瞭解 JFrog Artifactory 整合。
此交叉引用可準確辨識內嵌的第三方函式庫，並確保團隊不會遺漏專案二進位元件中的重要安全資訊。
CycloneDX SBOM 報告驗證及豐富
如何運作：
匯入現有的 SBOM
使用者提供 CycloneDX 格式的 SBOM 報告，作為分析與驗證的基線。
驗證與豐富
OPSWAT 重新掃描 SBOM，根據我們的資料庫驗證列出的元件，並補充遺漏的詳細資訊，包括
- 漏洞洞察（CVE 檢測和嚴重性評級）
- 授權資料
- 版本追蹤（過期版本和修補程式）
此外，具有已知 CVE 或未核准授權的檔案會根據預先設定的政策被標記或封鎖。
產生和匯出增強型 SBOM
更新後的 SBOM 包含額外的安全洞察。以 JSON、CycloneDX 或 SPDX SBOM 格式匯出豐富的調查結果。
為什麼二進位偵測很重要
全面的Vulnerability Management
當新的 CVE 公佈時，安全團隊可以立即評估是否受到影響，即使是二進位形式的元件也不例外。這可消除弱點回應工作流程中的安全盲點。
合規與法規準備
面對越來越多的法規要求或客戶對 SBOM 的需求，組織可以確保所有元件都有記錄在案，而不只是那些透過套件管理員管理的元件。
安裝套件的安全性評估
Software 發行套件通常包含許多第三方元件。二進位偵測可擴大安裝程式的可視性，並確保達到客戶的所有依賴元件都經過清查和安全檢查。
舊版程式碼支援
缺乏現代化相依性管理的舊式應用程式現在可以納入軟體供應鏈安全計畫，而不需要手動追蹤或大量返工。
關於OPSWAT SBOM
OPSWAT SBOM 透過提供軟體應用程式堆疊中軟體元件的精確清單，實現軟體透明度。透過OPSWAT SBOM，開發人員可辨識已知的弱點、驗證授權，並針對 OSS（開放源碼軟體）、第三方依賴項目和容器映像產生元件清單。Software 開發團隊可以在不影響開發速度的情況下，保持合規性並趕在攻擊者之前。
進一步瞭解 SBOM 如何協助保護您的應用程式安全，請造訪opswat
