Software Bill of Materials

SBOM jest generowany w formacie JSON CycloneDX , specyfikacja wersja 1.6. Zawiera wszystkie zależności NuGet wraz z wersjami, licencjami i sumami kontrolnymi SHA-512 .

cyclonedx.org

SBOM (Program Materiałowy)

Uporządkowana, maszynowo czytelna lista wszystkich komponentów firm trzecich zawartych w produkcie oprogramowania — podobna do listy składników. SBOM-y są używane przez zespoły bezpieczeństwa oraz narzędzia automatyczne do identyfikacji znanych luk w zależności produktu.

Ramy docelowe (TFM)

EPPlus jest tworzony dla wielu wersji .NET jednocześnie, takich jak net462 (.NET Framework 4.6.2), netstandard2.0, net8.0 oraz net9.0. Każdy z nich nazywany jest ramą docelową. Różne ramy docelowe mogą zależeć od różnych pakietów lub wersji pakietów NuGet, dlatego SBOM-y dla każdego TFM mogą dostarczać dokładniejsze informacje o zależności niż połączony SBOM.

CycloneDX

Otwarty standard SBOM utrzymywany przez OWASP Foundation, szeroko wspierany przez narzędzia bezpieczeństwa i skanery. CycloneDX definiuje ustrukturyzowany format JSON (lub XML) do opisu komponentów oprogramowania i ich relacji. EPPlus SBOM używa formatu JSON CycloneDX, specyfikacja wersja 1.6. cyclonedx.org

Suma kontrolna SHA-256

Kryptograficzny odcisk palca pliku. Porównując sumę kontrolną pobranego pliku SBOM z wartością podaną tutaj, możesz zweryfikować, że plik nie został zmodyfikowany ani uszkodzony podczas transportu.

CVE (Typowe podatności i narażenia)

Standaryzowany identyfikator dla publicznie znanej luki bezpieczeństwa, np. CVE-2024-12345. Identyfikatory CVE są przypisywane przez MITRE i odwoływane w bazach danych podatności, takich jak National Vulnerability Database (NVD). Skanery bezpieczeństwa wykorzystują komponenty wymienione w SBOM do sprawdzania znanych CVE.