SBOM
Yazılım Malzeme Listesi (Software Bill of Materials) — bir yazılımdaki tüm bileşenlerin ve bağımlılıkların eksiksiz "envanteri". Bir kütüphanede yeni zafiyet bulunduğunda hangi ürünlerin etkilendiğini SBOM'lardan hızla görebilirsiniz. Log4Shell bunları öncelik hâline getirdi.
Sorun: modern yazılım yüzlerce üçüncü taraf bağımlılıktan (çoğu zaman bağımlılıkların bağımlılıkları, iç içe) oluşur ve hiç kimse hepsini aklında tutamaz. Log4Shell (2021) patladığında kuruluşlar, zafiyetli Log4j'yi kullanıp kullanmadıklarını ve nerede kullandıklarını anlamak için haftalar harcadı. SBOM bunu çözer: CycloneDX veya SPDX gibi standart biçimlerde, hangi bileşenlerin ve sürümlerin dahil olduğunu gösteren makine tarafından okunabilir liste. Kazanç: yeni zafiyetlerde hızlı etki analizi ("hangi sistemlerimiz etkilenen kütüphaneyi çalıştırıyor?"), tedarik zinciri şeffaflığı ve lisans/uyumluluk takibi. Derleme hattında otomatik üretilir. Düzenlemelerle de itilir (ör. ABD'nin yazılım güvenliği başkanlık kararnamesi tedarikçilerden SBOM ister). Tedarik zinciri güvenliğinin köşe taşlarından biri; SLSA ve tedarik zinciri saldırısıyla ilişkilidir.