SBOM
Software Bill of Materials — ein vollständiges "Inhaltsverzeichnis" aller Komponenten und Abhängigkeiten einer Software. Wird in einer Bibliothek eine neue Schwachstelle entdeckt, lässt sich in den eigenen SBOMs sofort nachschlagen, welche Produkte betroffen sind. Log4Shell machte sie zur Priorität.
Das Problem: Moderne Software besteht aus Hunderten Drittanbieter-Abhängigkeiten, oft tief verschachtelten Abhängigkeiten von Abhängigkeiten — niemand hat sie alle im Kopf. Als Log4Shell 2021 zuschlug, verbrachten Organisationen Wochen allein damit herauszufinden, OB und WO sie das verwundbare Log4j überhaupt einsetzten. Ein SBOM löst genau das: eine maschinenlesbare Liste (in Standardformaten wie CycloneDX oder SPDX) mit exakt den enthaltenen Komponenten und Versionen. Der Nutzen: schnelle Impact-Analyse bei neuen Schwachstellen ("welche unserer Systeme nutzen die betroffene Bibliothek?"), Transparenz in der Lieferkette und Lizenz-/Compliance-Tracking. Wird automatisch in der Build-Pipeline generiert. Wird zunehmend durch Regulierung erzwungen (etwa die US Executive Order zur Softwaresicherheit, die SBOMs von Lieferanten verlangt). Ein Grundpfeiler der Supply-Chain-Sicherheit, eng verwandt mit SLSA und Supply-Chain-Angriffen.