Software Bill of Materials

SBOM, CycloneDX JSON formatında, spesifikasyon sürümü 1.6'da oluşturulur. Tüm NuGet bağımlılıklarını sürümleri, lisansları ve SHA-512 kontrol toplamlarıyla içerir.

cyclonedx.org

SBOM (Yazılım Malzeme Listesi)

Bir yazılım ürünündeki tüm üçüncü taraf bileşenlerin yapılandırılmış, makine tarafından okunabilir bir listesi — bir içerik listesine benzer. SBOM'lar, bir ürünün bağımlılıklarındaki bilinen güvenlik açıklıklarını belirlemek için güvenlik ekipleri ve otomatik araçlar tarafından kullanılır.

Hedef Çerçevesi (TFM)

EPPlus, net462 (.NET Framework 4.6.2), netstandard2.0, net8.0 ve net9.0 gibi birden fazla .NET sürümü için aynı anda oluşturulmuştur. Bunların her birine hedef çerçeve denir. Farklı hedef çerçeveler, farklı NuGet paketlerine veya paket sürümlerine bağlı olabilir, bu nedenle her TFM SBOM'lar, birleşik SBOM'lardan daha hassas bağımlılık bilgisi sağlayabilir.

CycloneDX

OWASP Vakfı tarafından korunan ve güvenlik araçları ile tarayıcılar tarafından yaygın şekilde desteklenen açık bir SBOM standardıdır. CycloneDX, yazılım bileşenlerini ve ilişkilerini tanımlamak için yapılandırılmış bir JSON (veya XML) formatı tanımlar. EPPlus SBOM'lar, CycloneDX JSON formatını, spesifikasyon sürümü 1.6 kullanır. cyclonedx.org

SHA-256 Kontrol Toplamı

Bir dosyanın kriptografik parmak izi. İndirilmiş bir SBOM'un kontrol toplamını burada listelenen değerle karşılaştırarak, dosyanın taşınma sırasında tahrip edilmediğini veya bozulmadığını doğrulayabilirsiniz.

CVE (Yaygın Güvenlik Açıklıkları ve Maruz Kalmalar)

Kamuya açık bir güvenlik açığı için standartlaştırılmış bir tanımlayıcı, örneğin CVE-2024-12345. CVE tanımlayıcıları MITRE tarafından atanır ve Ulusal Güvenlik Güvenlik Veritabanı (NVD) gibi güvenlik açığı veritabanlarında referanslanır. Güvenlik tarayıcıları, bilinen CVE'leri kontrol etmek için SBOM'da listelenen bileşenleri kullanır.