Tech

Çalışan şeyin SBOM'umun beyan ettiğiyle eşleşip eşleşmediğini neden bilemiyorum?

Fırsat

SBOM'lar derleme zamanında oluşturulur ve bir derlemenin içerdiğini beyan ettiği şeyi tanımlar. Yazılım dağıtılıp çalışmaya başladığında bağımlılıklar kayabilir, statik olarak bağlı kütüphaneler çalışma zamanında iz bırakmaz ve canlı bir sürecin beyan edilen malzeme listesiyle eşleştiğini doğrulayacak standart bir yapı taşı mevcut değildir. IBM'in 35.000'den fazla SBOM üzerinde gerçekleştirdiği 2025 analizinde 7.907 SBOM'un doğrudan bağımlılıkları açıklamadığı tespit edilmiş; ENISA'nın Aralık 2025 uygulama kılavuzu ise çalışma zamanı kaymasını temel açık boşluklardan biri olarak nitelendirmiştir. İmzalı bir SBOM ile çalışan bir konteyner arasındaki uçurum şu an yalnızca güvenle kapatılmaktadır.

Neden önemli

AB ve ABD'deki düzenlemeler artık SBOM'ları zorunlu kılmaktadır; ancak çalışma zamanı onayı olmaksızın bunlar bir güvenlik kontrolü değil, yalnızca denetim belgesidir.

Fırsatı nasıl puanlıyorum

Fırsat Puanı benim kendi değerlendirmem, bir ölçüm değil: ne kadar acı verdiği, ne sıklıkla etkisi olduğu ve bugün için ne kadar az çözüm bulunduğu. Daha yüksek puan, inşa etmeye daha değer olduğunu düşündüğüm anlamına gelir.

Ciddiyet9/10

Ortaya çıktığında ne kadar sorun yarattığı.

Sıklık8/10

İnsanların bununla gerçekte ne sıklıkla karşılaştığı.

Boşluk8/10

Bugün bunun için ne kadar az iyi araç bulunduğu.