[论文解读] A Landscape Study of Open Source and Proprietary Tools for Software Bill of Materials (SBOM)

Mehdi Mirakhorli, Derek Garcia+6 more|arXiv (Cornell University)|Feb 17, 2024

Open Source Software Innovations被引用 5

一句话总结

本论文对84个与SBOM相关的工具（开源和专有）进行实证调查，以绘制当前景观，识别用例，并突出SBOM技术在软件供应链安全中的差距。

ABSTRACT

Modern software applications heavily rely on diverse third-party components, libraries, and frameworks sourced from various vendors and open source repositories, presenting a complex challenge for securing the software supply chain. To address this complexity, the adoption of a Software Bill of Materials (SBOM) has emerged as a promising solution, offering a centralized repository that inventories all third-party components and dependencies used in an application. Recent supply chain breaches, exemplified by the SolarWinds attack, underscore the urgent need to enhance software security and mitigate vulnerability risks, with SBOMs playing a pivotal role in this endeavor by revealing potential vulnerabilities, outdated components, and unsupported elements. This research paper conducts an extensive empirical analysis to assess the current landscape of open-source and proprietary tools related to SBOM. We investigate emerging use cases in software supply chain security and identify gaps in SBOM technologies. Our analysis encompasses 84 tools, providing a snapshot of the current market and highlighting areas for improvement.

研究动机与目标

• 在日益依赖第三方组件的背景下，推动引入SBOM以保护软件供应链的必要性。
• 评估当前与SBOM相关的工具格局，以理解能力与市场分布。
• 识别SBOM技术的新兴用例与差距，为未来研究与工具开发提供指引。

提出的方法

• 对野外的SBOM工具进行广泛的实证分析，包括开源与专有产品。
• 根据与SBOM生成、管理和漏洞感知相关的特征对工具进行编目与分类。
• 综合研究结果以绘制软件供应链安全中的用例，并突出技术差距。

实验结果

研究问题

• RQ1 当前开源与专有SBOM工具的格局是什么？
• RQ2 在软件供应链安全中，出现了哪些与SBOM相关的用例？
• RQ3 SBOM技术存在哪些需要未来研究和开发的差距？

主要发现

• 本研究分析了84个与SBOM相关的工具，以提供市场快照。
• 分析突出显示了软件供应链安全中的新兴用例。
• 确定了SBOM技术中的差距，以指导未来改进。