【51CTO.com快译】
创作者丨Josh Bressers
译员丨赵青窕
方案策划丨孙淑娟
在本次 Log4Shell 事件后，针对精准定位处理新产生的手机软件供应链管理中的漏洞和进攻而言，生成 SBOM 并迅速地获得其信息内容早已越来越尤为重要。
同很多零日漏洞一样，有关的机构或是组织已经全力以赴地鉴别修补 Log4j 中 Log4Shell 漏洞的危害。这类漏洞是极为风险的，由于该漏洞存于一个极为常见的库中，而且非常容易被运用。现阶段的首要条件是，在实际的漏洞有关关键点被公布以前，它早已被普遍地运用，进而急切地必须尽早修补。
在 24 钟头的修补工作中以后，安全性和应用程序精英团队喘了一口气，下面它们将开展回望和核查的工作中，便于为下一个零日漏洞的精准定位做准备。在这类新领域下，手机软件物料 (SBOM) 已经变成一种极为重要的安全性规定，它使手机软件在所有供应链系统中具备看得见性。因而大家务必积极行动起來创建一个主要的新作用：SBOM 管理方法。
建立一个综合的 SBOM
现阶段，领域管理者选用的最佳实践是为每一个交货或布署的应用程序版本生成一个软件材料清单(SBOM)。实际上，近期英国有关我国网络信息安全的行政规章将规定手机软件经销商向联邦政府组织给予她们市场销售或交货的电脑软件的 SBOM。
如果我们从理论的方面看来，生成 SBOM 仅仅第一步。正如 Log4Shell 向人们呈现的那般，当新的零日漏洞产生时，大家必须可以更好地使用和检索 SBOM。生成 SBOM 非常容易，但监管和追踪数百人或数千个 SBOM 是一项艰巨的任务，并且针对解决持续变动的危害状况也是一项艰难的每日任务。
尽管今日在交货应用程序以前扫描仪漏洞是很普遍的，但这还不够。扫描仪应用程序以鉴别部件和有关漏洞应该是一个持续性的全过程，不应该只运作一次，而应当按时运作。每一次扫描仪应用程序时，都务必纪录和研究結果。为了更好地从一个点到点的系统软件迁移到一个持续的系统软件，专用工具和自动化技术是很重要的。
一个机构或组织在开发设计应用程序时，通常包含很多的开源代码及其内部结构研发的源代码和第三方的商业服务库。SBOM 生成专用工具可以查验撰写的编码，包含在其中应用的开源代码，但对于商业服务库，依据其装包方法的不一样，很有可能会没法扫描仪到。由于这样的事情下，必须商业服务库的经销商给予商业服务库相匹配的 SBOM。拥有全部部件的 SBOM 以后，就必须将他们搭配起來，生成遮盖全部应用程序的汇聚 SBOM。
SBOM 管理中心需的主要作用
应用 SBOM 做为保证手机软件供应链管理安全性的基本，但由于時间的变化，愈来愈多的 SBOM 将被生成和包括。因而必须专用工具和自动化技术来管理方法复杂性的 SBOM。搜索的作用包含:
一个集中化的储存库，用于储存跨商品精英团队和应用程序的 SBOM。
具有迅速搜索有什么问题部件的应用程序的检索能力。
具有生成或导进由手机软件经销商或开源软件组带来的 SBOM 的能力。
可以融合全部部件级的 SBOM，进而为应用程序建立一个综合的 SBOM。
适用繁杂的 SBOM 规范及其 SPDX 之类的轻量 SBOM 规范。
可以对于一个应用程序的好几个释放出来的版本，好几个搭建版本，或是研发的无需环节，各自储存其相应的 SBOM 的能力。
具有 SBOM 较为的能力，便于检验到出现异常后，对有可能产生的纂改给与警示。
SBOM 事情响应时间
一旦您为一个已公布应用程序版本得到了一组确立而确切的 SBOM，您就必须将这种 SBOM 储存在一个集中化的储存库文件，便于迅速扫描仪和检索 SBOM 的內容。集中型方式代表着安全性精英团队无须消耗时间来明确在许多人的应用程序中布署了什么部件。时下一个重要漏洞发生时，SBOM 可视化工具应当马上回到結果。运用对策模块和对策标准可能向全部受影响的应用程序精英团队生成通告和报警。那样应当在数分钟内便会了解什么运用遭受危害，及其怎样开展弥补，而不是耗费几个星期的时间段去精准定位。
SBOM 现况
在完成了短期内 Log4Shell 修补工作中以后，大家必须准备好解决手机软件供应链管理漏洞和进攻的新实际。假如您的机构都还没生成 SBOM，那麼如今就可以开始了。可是生成 SBOM 仅仅第一步。您还需要设定储存和管理方法 SBOM 的步骤。随后建立工作流引擎，使您能在下一次零日漏洞发生时快速访问和检索数据信息。
Log4j 是一个十分高昂的经验教训，它提示大家为何大家不仅必须 SBOM，并且必须将他们做为详细的手机软件供应链发展战略的一部分开展监管的能力。现在是积极关心手机软件供应链管理安全性的那时候了。完成 SBOM 管理方法是一个主要的每日任务，它将在下一个零日来临时给大家提供益处。
译员详细介绍
赵青窕，51CTO 小区编写，从业很多年驱动开发。科学研究兴趣爱好包括安全性 OS 和网络信息安全行业，曾得到陕西省分赛区数学模型奖，发布过互联网有关专利权。
全文连接：
https://www.infoworld.com/article/3645452/why-sbom-management-is-no-longer-optional.html
【51CTO译文，协作网站转截请标明全文译员和来源为51CTO.com】
