[论文解读] An Empirical Study on Software Bill of Materials: Where We Stand and the Road Ahead

Boming Xia, Tingting Bi+3 more|arXiv (Cornell University)|Jan 13, 2023

Software Engineering Techniques and Practices被引用 5

一句话总结

本实证研究通过在15个国家开展的17次访谈和65份调查的混合方法研究，调查了从业者对软件物料清单（SBOM）采纳的看法。研究识别出SBOM实践、工具支持和相关关切中的关键挑战，尤其集中在标准化、隐私和工具完整性方面；同时提出了一个目标模型，并强调AIBOM是未来软件供应链安全的关键发展方向。

ABSTRACT

The rapid growth of software supply chain attacks has attracted considerable attention to software bill of materials (SBOM). SBOMs are a crucial building block to ensure the transparency of software supply chains that helps improve software supply chain security. Although there are significant efforts from academia and industry to facilitate SBOM development, it is still unclear how practitioners perceive SBOMs and what are the challenges of adopting SBOMs in practice. Furthermore, existing SBOM-related studies tend to be ad-hoc and lack software engineering focuses. To bridge this gap, we conducted the first empirical study to interview and survey SBOM practitioners. We applied a mixed qualitative and quantitative method for gathering data from 17 interviewees and 65 survey respondents from 15 countries across five continents to understand how practitioners perceive the SBOM field. We summarized 26 statements and grouped them into three topics on SBOM's states of practice. Based on the study results, we derived a goal model and highlighted future directions where practitioners can put in their effort.

研究动机与目标

• 从从业者视角理解当前SBOM实践的现状，弥补现有行业报告中的空白。
• 调查从业者对SBOM工具的看法，包括可用性、可获得性及完整性方面的挑战。
• 识别SBOM采纳中最紧迫的关切，如缺乏标准化、数据隐私和行业承诺。
• 提出一个目标模型及未来研究方向，以推动SBOM的实施，特别是在人工智能/机器学习（AIBOM）等新兴领域。

提出的方法

• 开展混合方法研究，结合对17名SBOM从业者的深度半结构化访谈和来自15个国家的65名受访者的定量调查。
• 使用定性编码从访谈数据中提取26条代表性陈述，并通过调查进行验证和量化。
• 将发现归类为三大核心主题：SBOM实践、工具支持和从业者关切，结合全球视角进行主题分析。
• 基于从业者期望和挑战，开发一个目标模型，以指导未来SBOM的标准化与实施。
• 将研究发现与2022年SBOM准备度报告进行对比，突出在关注重点、方法论和研究范围上的差异，尤其强调软件工程视角。
• 整合新兴关切，如AIBOM（人工智能/机器学习专用SBOM）和SBOM中的数据隐私，反映不断演进的软件供应链需求。

实验结果

研究问题

• RQ1 在生成、分发、验证和漏洞管理方面，当前SBOM实践的现状如何？
• RQ2 从从业者视角看，当前SBOM工具支持的现状如何，包括可用性、可获得性和完整性？
• RQ3 从业者在SBOM采纳方面的主要关切是什么，特别是关于标准化、隐私和行业承诺？
• RQ4 从业者如何看待SBOM的价值和未来方向，特别是在人工智能和机器学习（AIBOM）的背景下？

主要发现

• 调查中90%的组织已开始或计划采纳SBOM，其中54%已实际实施，表明行业采纳势头强劲。
• 尽管准备度高，仍有40%的从业者对SBOM的长期行业承诺持不确定态度，39%希望就标准化数据字段达成共识。
• 从业者肯定SBOM工具的必要性，但报告指出其可用性、可用性和完整性有限，尤其关注SBOM中的数据隐私和正确性。
• 一个主要关切是标准SBOM格式缺乏可扩展性，这阻碍了其对不断演进的软件组件和AI/ML系统的适应能力。
• 从业者强调需要更好的教育和采纳支持，66%的受访者表示知识不足是使用SBOM的主要障碍。
• 本研究将AIBOM（人工智能/机器学习专用SBOM）识别为关键未来方向，要求在SBOM中实现代码、数据、模型和配置的协同演化。