CycloneDX
Daha fazla bilgi
- Yaratıcı
- Steve Springett, OWASP
- Yayın
- 2017
- Tür
- Standart, veri biçimi
- Spesifikasyon
- ECMA-424
- Resmî site
- cyclonedx.org
OWASP'ın yazılım malzeme listesi biçimi; lisans muhasebesi için değil, en baştan güvenlik analizi için tasarlandı.
Steve Springett biçimi 2017'de, bir uygulamanın tam olarak hangi bileşenleri içerdiğini bilmesi gereken kendi aracı Dependency-Track için geliştirdi; amaç güvenlik açıklarını aramaktı. Biçim bir OWASP projesi oldu ve SPDX ile birlikte iki baskın SBOM biçiminden biri sayılıyor. SPDX lisans dünyasında, CycloneDX güvenlik dünyasında büyüdü ve alanların seçimi bunu belli ediyor. 2024'te ECMA-424 olarak standartlaştırıldı.
Biçim o zamandan beri kod envanterinin çok ötesine geçti. Aynı şema, bir açığın gerçekten istismar edilebilir olup olmadığını bildiren VEX beyanlarını, servis bağımlılıklarını, donanımı, makine öğrenmesi modellerini ve bir sistemin hangi kriptografik algoritmaları kullandığını da kapsıyor. JSON, XML veya Protocol Buffers olarak yazılabiliyor, Syft gibi araçlar üretiyor ve çoğunlukla başka araçlar okuyor.