Tech

ทำไมฉันถึงไม่รู้ได้ว่าสิ่งที่กำลังทำงานอยู่ตรงกับสิ่งที่ SBOM ของฉันประกาศไว้หรือไม่

โอกาส

SBOM ถูกสร้างขึ้นในช่วงเวลาบิลด์และอธิบายสิ่งที่บิลด์อ้างว่ามีอยู่ ในช่วงเวลาที่ซอฟต์แวร์ถูกปรับใช้และทำงาน ดีเพนเดนซีอาจเปลี่ยนแปลงไป ไลบรารีที่ลิงก์แบบสแตติกไม่ทิ้งร่องรอยในช่วงรันไทม์ และไม่มีเครื่องมือพื้นฐานมาตรฐานในการตรวจสอบว่าโปรเซสที่ทำงานอยู่ตรงกับรายการวัสดุที่ประกาศไว้ การวิเคราะห์ SBOM มากกว่า 35,000 รายการของ IBM ในปี 2025 พบว่า 7,907 รายการล้มเหลวในการเปิดเผยดีเพนเดนซีโดยตรง และคู่มือการนำไปใช้ของ ENISA ในเดือนธันวาคม 2025 เรียกการเลื่อนไหลในช่วงรันไทม์ว่าเป็นหนึ่งในช่องว่างหลักที่ยังเปิดอยู่ ช่องว่างระหว่าง SBOM ที่ลงนามแล้วกับคอนเทนเนอร์ที่ทำงานอยู่ในปัจจุบันถูกเชื่อมด้วยความไว้วางใจเพียงอย่างเดียว

ทำไมถึงสำคัญ

กฎระเบียบในสหภาพยุโรปและสหรัฐอเมริกาขณะนี้กำหนดให้มี SBOM แต่หากไม่มีการรับรองในช่วงรันไทม์ สิ่งเหล่านี้ก็เป็นเพียงหลักฐานการตรวจสอบ ไม่ใช่การควบคุมด้านความปลอดภัย

วิธีที่ผมให้คะแนนโอกาส

คะแนนโอกาสเป็นมุมมองส่วนตัวของผม ไม่ใช่การวัดผล โดยดูว่ามันเจ็บปวดแค่ไหน บ่อยแค่ไหนที่มันกัดกิน และมีทางแก้อยู่น้อยเพียงใดในปัจจุบัน คะแนนสูงกว่าหมายความว่าผมคิดว่าคุ้มค่าแก่การสร้างมากกว่า

ความรุนแรง9/10

ความเจ็บปวดที่มันก่อขึ้นเมื่อปรากฏตัว

ความถี่8/10

ความถี่ที่คนจริงๆ เจอมัน

ช่องว่าง8/10

ความขาดแคลนของเครื่องมือที่ดีสำหรับมันในปัจจุบัน