CycloneDX
Подробнее
- Создатели
- Стив Спрингетт, OWASP
- Год
- 2017
- Тип
- Стандарт, формат данных
- Спецификация
- ECMA-424
- Официальный сайт
- cyclonedx.org
Формат спецификации состава ПО от OWASP, с самого начала рассчитанный на анализ безопасности, а не на лицензионный учёт.
Формат создал в 2017 году Стив Спрингетт для своего инструмента Dependency-Track, которому нужно было точно знать, из каких компонентов состоит приложение, чтобы искать по ним уязвимости. Он стал проектом OWASP и наряду с SPDX — одним из двух господствующих форматов SBOM. SPDX вырос в мире лицензирования, CycloneDX — в мире безопасности, и по набору полей это заметно. В 2024 году формат стандартизован как ECMA-424.
С тех пор формат вышел далеко за пределы перечней кода. Одна и та же схема описывает заявления VEX о реальной эксплуатируемости уязвимости, зависимости между сервисами, оборудование, модели машинного обучения и используемые системой криптографические алгоритмы. Его можно записать в JSON, XML или Protocol Buffers; создают его такие инструменты, как Syft. Читают его в основном другие программы.