Software Bill of Materials
EPPlus Softwareは、バージョン7.3以降の各EPPlusリリースに対して Software Bill of Materials (SBOM)を提供しています。SBOMはEPPlusに含まれるすべてのサードパーティ依存関係と、そのバージョン、ライセンス、チェックサムを一覧にしています。
すべてのSBOMはCycloneDX JSON形式(仕様バージョン1.6)で提供されており、検証用のSHA-256チェックサムが使われています。利用可能な場合は、特定のターゲットフレームワークのSBOMをダウンロードするために行を展開してください。
現在、SBOMファイルは利用できません。
APIアクセスおよびフォーマット情報
各SBOMはURLを通じて直接アクセス可能です。これはSBOMデータを消費する自動化ツールやパイプラインに有用です。
全バージョンの索引
バージョン、リリース日、ダウンロードURL、 SHA-256 チェックサムを含む、利用可能なすべてのSBOMファイルの機械可読JSONインデックスです。
https://epplussoftware.com/security/sbom/all.json具体的なバージョン
指定されたバージョンのすべてのターゲットフレームワークにまたがる依存関係を含む統合SBOMを返します。
https://epplussoftware.com/security/sbom/{version}.json特定のバージョンとターゲットフレームワーク
各SBOMはターゲットフレームワークごとに利用可能で、フレームワーク固有の依存データを必要とするツールで利用可能です。
https://epplussoftware.com/security/sbom/{version}/{tfm}.json最新出版版
https://epplussoftware.com/security/sbom/latest.jsonSBOMはJSON形式 CycloneDX 仕様バージョン1.6で生成されます。すべてのNuGet依存関係を含み、バージョン、ライセンス、 SHA-512 チェックサムが含まれています。
- SBOM(ソフトウェア資材表)
- ソフトウェア製品に含まれるすべてのサードパーティ製コンポーネントを構造化し、機械で読みやすいリストで、成分リストに似ています。SBOMはセキュリティチームや自動化ツールによって、製品の依存関係における既知の脆弱性を特定するために使用されます。
- ターゲットフレームワーク(TFM)
- EPPlusは、net462(.NET Framework 4.6.2)、netstandard2.0、net8.0、net9.0など、複数の.NETバージョンを同時に開発しています。それぞれがターゲットフレームワークと呼ばれます。異なるターゲットフレームワークは異なるNuGetパッケージやパッケージバージョンに依存しているため、TFMごとのSBOMは結合SBOMよりもより正確な依存関係情報を提供できます。
- サイクロンDX
- OWASP財団によって維持されているオープンなSBOM標準で、セキュリティツールやスキャナーによって広くサポートされています。CycloneDXは、ソフトウェアコンポーネントとその関係を記述するための構造化されたJSON(またはXML)フォーマットを定義しています。EPPlus SBOMはCycloneDX JSONフォーマット、仕様バージョン1.6を使用しています。 cyclonedx.org
- SHA-256 チェックサム
- ファイルの暗号指紋。ダウンロードしたSBOMのチェックサムをここに記載された値と比較することで、ファイルが改ざんや破損していないことを確認できます。
- CVE(共通の脆弱性と曝露)
- 公に知られているセキュリティ脆弱性の標準化された識別子、例:CVE-2024-12345。CVE識別子はMITREによって割り当てられ、National Vulnerability Database(NVD)などの脆弱性データベースで参照されます。セキュリティスキャナーはSBOMに記載されたコンポーネントを使って既知のCVEをチェックします。