Tech

मैं यह क्यों नहीं जान सकता कि जो चल रहा है वह मेरे SBOM में घोषित किए गए से मेल खाता है?

अवसर

SBOM बिल्ड टाइम पर तैयार होते हैं और यह बताते हैं कि बिल्ड में क्या होने का दावा किया गया था। जब तक सॉफ्टवेयर डिप्लॉय होकर चलने लगता है, तब तक डिपेंडेंसी बदल चुकी हो सकती है, स्टैटिकली लिंक्ड लाइब्रेरी कोई रनटाइम ट्रेस नहीं छोड़ती, और यह सत्यापित करने के लिए कोई मानक प्रिमिटिव नहीं है कि एक लाइव प्रोसेस अपने घोषित बिल ऑफ मैटेरियल्स से मेल खाता है। IBM के 2025 के 35,000 से अधिक SBOMs के विश्लेषण में पाया गया कि 7,907 ने प्रत्यक्ष डिपेंडेंसी का खुलासा करने में विफल रहे, और ENISA की दिसंबर 2025 की इम्प्लीमेंटेशन गाइड रनटाइम ड्रिफ्ट को मूल खुले अंतरों में से एक बताती है। एक हस्ताक्षरित SBOM और एक चल रहे कंटेनर के बीच का अंतर वर्तमान में केवल विश्वास से पाटा जाता है।

यह क्यों मायने रखता है

EU और US में नियमन अब SBOMs अनिवार्य करते हैं, लेकिन रनटाइम अटेस्टेशन के बिना ये एक ऑडिट आर्टिफैक्ट हैं, सुरक्षा नियंत्रण नहीं।

मैं अवसर को कैसे आंकता हूं

Opportunity Score मेरा अपना आकलन है, कोई माप नहीं: यह कितना तकलीफदेह है, कितनी बार परेशान करता है, और आज इसे हल करने के लिए कितना कम मौजूद है। जितना ज़्यादा स्कोर, उतना ज़्यादा मुझे लगता है कि इसे बनाना सार्थक है।

गंभीरता9/10

जब यह सामने आता है तो कितनी तकलीफ देता है।

आवृत्ति8/10

लोग वास्तव में कितनी बार इससे टकराते हैं।

व्हाइटस्पेस8/10

आज इसके लिए कितने कम अच्छे टूल मौजूद हैं।