SBOM
Software Bill of Materials: een volledige inventaris van alle componenten en afhankelijkheden in een stuk software, zodat bij een nieuwe kwetsbaarheid snel blijkt welke producten geraakt worden. Log4Shell maakte er een prioriteit van.
Het probleem: moderne software bestaat uit honderden externe afhankelijkheden (vaak afhankelijkheden van afhankelijkheden) die niemand uit zijn hoofd kent. Toen Log4Shell (2021) toesloeg, waren organisaties weken bezig om uit te zoeken of en waar ze de kwetsbare Log4j gebruikten. Een SBOM lost dat op: een machineleesbare lijst (in standaardformaten als CycloneDX of SPDX) van precies welke componenten en versies erin zitten. Winst: snelle impactanalyse bij nieuwe kwetsbaarheden ("welke systemen draaien de getroffen bibliotheek?"), transparantie in de toeleveringsketen en bewaking van licenties en compliance. Wordt automatisch gegenereerd in de buildpipeline en wordt door regelgeving afgedwongen (zo eist een Amerikaans presidentieel decreet over softwarebeveiliging SBOM's van leveranciers). Een hoeksteen van supply-chain-beveiliging, verwant aan SLSA en supply-chain-aanvallen.