Software Bill of Materials

SBOM jest generowany w formacie JSON CycloneDX , specyfikacja wersja 1.6. Zawiera wszystkie zależności NuGet wraz z wersjami, licencjami i sumami kontrolnymi SHA-512 .

cyclonedx.org

SBOM (Program Materiałowy)

Uporządkowana, maszynowo czytelna lista wszystkich komponentów firm trzecich zawartych w produkcie oprogramowania — podobnie jak lista składników. SBOM-y są wykorzystywane przez zespoły bezpieczeństwa oraz narzędzia automatyczne do identyfikowania znanych luk w zależności produktu.

Ramy docelowe (TFM)

EPPlus jest tworzony dla wielu wersji .NET jednocześnie, takich jak net462 (.NET Framework 4.6.2), netstandard2.0, net8.0 oraz net9.0. Każdy z tych elementów nazywany jest ramami docelowymi. Różne ramy docelowe mogą zależeć od różnych pakietów lub wersji pakietów NuGet, dlatego SBOM-y dla każdego TFM mogą dostarczać dokładniejsze informacje o zależności niż połączony SBOM.

CycloneDX

Otwarty standard SBOM utrzymywany przez Fundację OWASP, szeroko wspierany przez narzędzia bezpieczeństwa i skanery. CycloneDX definiuje ustrukturyzowany format JSON (lub XML) do opisu komponentów oprogramowania i ich relacji. EPPlus SBOM-y używają formatu JSON CycloneDX, specyfikacja wersja 1.6. cyclonedx.org

Suma kontrolna SHA-256

Kryptograficzny odcisk palca pliku. Porównując sumę kontrolną pobranego SBOM z wartością podaną tutaj, możesz potwierdzić, że plik nie został zmodyfikowany ani uszkodzony podczas transportu.

CVE (Typowe podatności i narażenia)

Ustandaryzowany identyfikator dla publicznie znanej luki bezpieczeństwa, np. CVE-2024-12345. Identyfikatory CVE są przypisywane przez MITRE i odwoływane w bazach danych podatności, takich jak National Vulnerability Database (NVD). Skanery bezpieczeństwa wykorzystują komponenty wymienione w SBOM do sprawdzania znanych CVE.