Software Bill of Materials
EPPlus 소프트웨어는 버전 7.3 이후 각 EPPlus 릴리스에 대해 Software Bill of Materials (SBOM)를 제공합니다. SBOM은 EPPlus에 포함된 모든 서드파티 의존성과 그 버전, 라이선스, 체크섬을 나열합니다.
모든 SBOM은 CycloneDX JSON 형식(사양 버전 1.6)으로 제공되며, 검증을 위한 SHA-256 체크섬이 포함되어 있습니다. 가능하다면, 특정 대상 프레임워크에 대해 SBOM을 다운로드하기 위해 한 행을 확장하세요.
현재 SBOM 파일은 제공되지 않습니다.
API 접근 및 포맷 정보
각 SBOM은 URL을 통해 직접 접근할 수 있습니다. 이는 SBOM 데이터를 소비하는 자동화 도구와 파이프라인에 유용합니다.
모든 버전의 색인
버전, 출시일, 다운로드 URL, SHA-256 체크섬을 포함한 모든 사용 가능한 SBOM 파일의 기계 판독 가능한 JSON 인덱스입니다.
https://epplussoftware.com/security/sbom/all.json구체적인 버전
지정된 버전에 대해 모든 타겟 프레임워크 간의 의존성을 포함하는 통합 SBOM을 반환합니다.
https://epplussoftware.com/security/sbom/{version}.json특정 버전과 대상 프레임워크
각 SBOM은 프레임워크별 의존성 데이터가 필요한 도구와 함께 사용할 수 있도록 목표 프레임워크별로 제공됩니다.
https://epplussoftware.com/security/sbom/{version}/{tfm}.json최신 출판 버전
https://epplussoftware.com/security/sbom/latest.jsonSBOM은 JSON 형식 CycloneDX 명세 버전 1.6으로 생성됩니다. 이 프로그램은 모든 NuGet 의존성을 포함하며, 버전, 라이선스, SHA-512 체크섬을 포함합니다.
- SBOM (소프트웨어 자재 명세서)
- 소프트웨어 제품에 포함된 모든 서드파티 구성 요소를 체계적으로 나열한 기계가 읽을 수 있는 목록으로, 성분 목록과 유사합니다. SBOM은 보안 팀과 자동화된 도구들이 제품 의존성의 알려진 취약점을 식별하는 데 사용됩니다.
- 목표 프레임워크 (TFM)
- EPPlus는 net462(.NET Framework 4.6.2), netstandard2.0, net8.0, net9.0 등 여러 .NET 버전을 동시에 지원하도록 설계되었습니다. 이 각각을 타겟 프레임워크라고 부릅니다. 서로 다른 타겟 프레임워크는 서로 다른 NuGet 패키지나 패키지 버전에 의존할 수 있어, TFM별 SBOM이 결합된 SBOM보다 더 정확한 의존성 정보를 제공할 수 있습니다.
- 사이클론DX
- OWASP 재단이 유지하는 오픈 SBOM 표준으로, 보안 도구와 스캐너에서 널리 지원받고 있습니다. CycloneDX는 소프트웨어 구성 요소와 그 관계를 설명하기 위한 구조화된 JSON(또는 XML) 형식을 정의합니다. EPPlus SBOM은 CycloneDX JSON 형식, 사양 버전 1.6을 사용합니다. cyclonedx.org
- SHA-256 체크섬
- 파일의 암호화 지문. 다운로드한 SBOM의 체크섬을 여기 나열된 값과 비교하면, 파일이 전송 중에 변조되거나 손상되지 않았는지 확인할 수 있습니다.
- CVE (공통 취약점 및 노출)
- 공개적으로 알려진 보안 취약점에 대한 표준화된 식별자, 예를 들어 CVE-2024-12345. CVE 식별자는 MITRE에 의해 할당되며, 국가 취약점 데이터베이스(NVD)와 같은 취약점 데이터베이스에서 참조됩니다. 보안 스캐너는 SBOM에 명시된 구성 요소를 사용하여 알려진 CVE를 확인합니다.