微软开源 SBOM 生成工具：sbom-tool下载及使用详解

最新推荐文章于 2024-05-01 17:49:29 发布
最新推荐文章于 2024-05-01 17:49:29 发布
阅读量582 收藏 10
点赞数 4
文章标签： microsoft
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/dahuamiao111/article/details/136394557
版权

github地址

GitHub - microsoft/sbom-tool: The SBOM tool is a highly scalable and enterprise ready tool to create SPDX 2.2 compatible SBOMs for any variety of artifacts.The SBOM tool is a highly scalable and enterprise ready tool to create SPDX 2.2 compatible SBOMs for any variety of artifacts. - microsoft/sbom-toolicon-default.png?t=N7T8https://github.com/microsoft/sbom-tool
简介

SBOM工具是一个高度可扩展的企业级工具，用来为各种工件创建SPDX 2.2兼容的SBOM。

下载及安装

Releases · microsoft/sbom-tool · GitHubThe SBOM tool is a highly scalable and enterprise ready tool to create SPDX 2.2 compatible SBOMs for any variety of artifacts. - Releases · microsoft/sbom-toolicon-default.png?t=N7T8https://github.com/microsoft/sbom-tool/releases

windows系统进行查询

sbom-tool generate -b sbom-output -bc ./Bin -pn HDApp -pv 1.0.0 --ps Company
dahuamiao111
关注
  • 4
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
sig-security-sbom：SIG安全-软件物料清单
01-30
sig-security-sbom：SIG安全-软件物料清单
如何使用微软的开源工具生成 SBOM
学海无涯苦作舟的博客
10-05 2599
SBOM （软件物料清单）通过列出您的代码所依赖的软件包和供应商来帮助您了解您的软件供应链。SBOM 正迅速获得发展势头，作为在现实世界供应链受到重大攻击后帮助提高安全性的一种方式。SBOM 的主要支持者之一是微软，该公司早在 2021 年 10 月就发布了针对他们这一代的方法。今年早些时候，该公司开源了其用于在 Windows、macOS 和 Linux 上生成 SBOM 的工具。在本文中，您将学习如何开始使用该项目来索引代码的依赖项。它生成与 SPDX 兼容的文档，列出项目中的文件、包和关系。
供应链攻击日益严重，微软开源 SBOM 生成工具 Salus
dotNET跨平台
07-18 438
Software Package Data Exchange®（SPDX®）规范作为ISO/IEC 5962:2021发布，被认定为安全性、许可合规和其他软件供应链构件领域的国际开放标准。ISO/IEC JTC 1是一个独立的非政府标准机构。包括英特尔、微软、西门子、索尼、新思科技、VMware和WindRiver在内的众多公司已经使用SPDX在政策或工具中传达软件材料清...
开源软件使用的风险和应对方法
KDE的博客
05-30 7435
随着软件系统研发速度的日益敏捷，世界上出现了大量可复用的开源软件。对于个人来说，使用开源软件构建一个非商业的软件系统是没有太多限制的，但对于一个企业或公司来说，软件系统是对外售卖或者对外提供服务的，是具有商业行为的，在这种情况下不了解开源软件的使用要求，就贸然使用会给企业带来巨大的风险。 笔者从事开源软件使用合规工作已经第3个年头了，今天就来总结下企业在使用开源软件时存在的风险和问题，以及如何解决或规避这些问题。（注：后续文章中提到的软件、软件系统和产品都是指可对外售卖的软件产品，后文不再对这三个名词作详
简单三步快速生成SBOM软件物料清单！免费不限应用！
cclover0824的博客
11-23 294
下载插件配置路径启动检测就能拿到软件供应链安全图谱实体要素清单、SBOM物料清单报告、软件基本信息、组件数、许可引用数、漏洞数及风险等级，快快滴～
sbom-tool下载及使用详解
phmatthaus的专栏
08-19 1665
sbom-tool下载及使用详解
探索微软开源的SBOM工具：透明化供应链的安全基石
gitblog_00044的博客
03-26 297
探索微软开源的SBOM工具：透明化供应链的安全基石 项目地址:https://gitcode.com/microsoft/sbom-tool 在软件开发的世界里，了解我们的依赖项及其来源变得越来越重要。这就是Software Bill of Materials (SBOM) 的作用，它提供了关于软件组件和它们所依赖库的详细信息。微软开源了一个名为SBOM Tool的项目，旨在帮助开发者更好地管理和...
关于软件物料清单（SBOM），你所需要了解的一切
分享平台工程、应用部署的最佳实践
11-15 1097
在此前的多篇文章中，我们已经详细地介绍了软件物料清单（SBOM）对于保障软件供应链安全的重要性以及一些注意事项。在本文中，我们将会更深入地介绍SBOM。
老码农眼中的SBOM
我相信......
04-09 437
在QCon2022的“工程师成长”论坛上，我分享了《QCon：工程师成长的金字塔思维》，其中在金字塔思维示例中引用了悬镜安全的敏捷安全金字塔——其中，在解释“SCA”的时候， 谈到了SBOM，那么，具体什么是SBOM呢？除了与系统的安全性紧密相关之外，SBOM还有怎样的价值呢？1. 从BOM到SBOM在详细了解SBOM之前，理解什么是BOM可能大有裨益。BOM（Bill of Material）即...
cyclonedx-maven-plugin：从Maven项目创建CycloneDX软件物料清单（SBOM）
02-03
CycloneDX Maven插件 CycloneDX Maven插件创建项目的所有直接和传递依赖项的集合，并创建有效的CycloneDX SBOM。 CycloneDX是一种轻量级的软件物料清单（SBOM）规范，旨在用于应用程序安全上下文和供应链组件分析。 Maven用法 <!-- uses default configuration --> < plugins> < plugin> < groupId>org.cyclonedx</ groupId> < artifactId>cyclonedx-maven-plugin</ artifactId> < version>2.2.0</ version> </ plugin> </ plugins> 默认值 < plugins> < plugin> < groupId>org.cyclonedx</ groupId> < artifactId>cyclonedx-maven-plugin</ artif
KubeClarity 是一种用于检测和管理软件物料清单 (SBOM) 和包含漏洞的工具_go_代码_下载
06-15
KubeClarity 是一种用于检测和管理软件物料清单 (SBOM) 以及容器映像和文件系统漏洞的工具。它扫描运行时 K8s 集群和 CI/CD 管道，以增强软件供应链的安全性。 SBOM 和漏洞检测挑战 有效的漏洞扫描需要准确的软件物料清单 (SBOM) 检测： 各种编程语言和包管理器 各种操作系统发行版 包依赖信息通常在构建时被剥离 哪一款是最好的扫描仪/SBOM 分析仪？ 我们应该扫描什么：Git 存储库、构建、容器映像或运行时？ 每个扫描仪/分析仪都有自己的格式 - 如何比较结果？ 如何管理已发现的 SBOM 和漏洞？ 我的应用程序如何受到新发现的漏洞的影响？ 解决方案 将漏洞扫描分为两个阶段： 生成 SBOM 的内容分析 扫描 SBOM 以查找漏洞 创建可插拔基础架构以： 并行运行多个内容分析器 并行运行多个漏洞扫描程序 使用 KubeClarity CLI 在不同 CI 阶段之间扫描和合并结果 运行时 K8s 扫描以检测部署后发现的漏洞 在定义的应用程序下对扫描的资源（图像/目录）进行分组，以导航对象树依赖项（应用程序、资源、包、漏洞）
cyclonedx-core-java:用于创建和验证BOM的CycloneDX SBOM模型和实用程序
04-09
CycloneDX核心模块提供了SBOM的模型表示以及用于帮助创建，验证和解析SBOM的实用程序。 CycloneDX是一种轻量级的软件物料清单（SBOM）规范，旨在用于应用程序安全性上下文和供应链组件分析。 Maven用法 ...
cyclonedx-gradle-plugin：从Gradle项目创建CycloneDX软件物料清单（SBOM）
02-04
用法执行： gradle cyclonedxBom 输出CycloneDX生成信息： gradle cyclonedxBom -info 排除物料清单序列号： gradle cyclonedxBom -Pcyclonedx.includeBomSerialNumber=false build.gradle （节选） plugins {
cyclonedx-web-tool:用于处理 CycloneDX BOM 的基于 Web 的工具
08-04
Web 工具构建为“静态站点”，使用 WebAssembly 进行 BOM 处理。 所有处理都在您的浏览器客户端完成。 提交的 BOM 数据不会传输到其他地方。 自托管 Web 工具构建为“静态站点”。 任何标准的 Web 服务器都应该可以...
微软如何打造数字零售力航母系列科普06 - 如何使用微软的Copilot人工智能
weixin_45278215的博客
05-01 1062
ChatGPT促使许多公司试图加入人工智能法案。其中之一是微软，它有自己的人工智能聊天机器人Copilot（以前是Bing聊天）。Copilot可直接在Windows、网络、Edge浏览器的侧边栏和移动应用程序中使用，它将回答问题并执行任务，可能比OpenAI自己的工具更有帮助。那么Copilot能为您做些什么呢？嗯，它可以生成不同类型的内容，从诗歌到歌曲，从故事到报道。它将分析上传的照片、艺术品和其他图像。Copilot的Designer图像创建者将根据您的文本创建徽标、绘图或其他图像。
aardio封装库) 微软开源的js引擎(ChakraCore)
最新发布
Qwertyuiop2016的博客
05-01 1032
做爬虫肯定少不了JavaScript引擎的使用，比如在Python中现在一般用pyexecjs2: rpc调用nodejs，需要安装node: rpc调用deno，需要安装deno: 调用ChakraCore.dll。
【触摸案例-控件不能响应的情况 Objective-C语言】
madoca的博客
04-28 805
【触摸案例-控件不能响应的情况 Objective-C语言】
android生成sbom.xml
07-13
要在 Android 项目中生成 SBOM (Software Bill of Materials) XML，你可以使用一些工具和技术来实现。下面是一种常见的方法： 1. 使用构建工具：在 Android 项目中，你可以使用构建工具 Gradle 来生成 SBOM XML。Gradle 是 Android 开发中常用的构建工具，它支持插件和扩展来集成 SBOM 生成功能。 2. 集成依赖分析插件：为了生成 SBOM，你需要将一个依赖分析插件集成到你的 Gradle 配置中。一个常用的插件是 "dependency-check-gradle"，它可以分析项目的依赖关系并生成相应的 SBOM。 在你的项目根目录下的 `build.gradle` 文件中，添加以下内容： ```groovy buildscript { repositories { mavenCentral() } dependencies { classpath 'org.owasp:dependency-check-gradle:6.1.6' } } apply plugin: 'org.owasp.dependencycheck' ``` 3. 配置插件和生成任务：在你的模块级 `build.gradle` 文件中，配置插件和生成任务。添加以下内容： ```groovy dependencyCheck { format = "XML" outputDirectory = file("$buildDir/reports/dependency-check") } tasks.named("check") { finalizedBy("dependencyCheckAnalyze") } ``` 4. 运行构建任务：在终端或命令行中，使用 Gradle 命令运行构建任务。执行以下命令： ``` ./gradlew clean check ``` 这将触发构建任务和 SBOM 生成任务。生成的 SBOM XML 文件将位于 `app/build/reports/dependency-check/dependency-check-report.xml`。 通过以上步骤，你就可以在 Android 项目中生成 SBOM XML 文件。这个文件将包含你的项目的依赖关系和相关信息，有助于跟踪和管理组件的安全性。请注意，具体的步骤可能因你的项目结构和配置而有所不同，可以根据需要进行调整。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值