Was eine SBOM enthält
Komponentennamen, exakte Versionen, Lieferanten und Lizenzen - für Ihren eigenen Code, das RTOS oder die Linux-Distribution, Hersteller-SDKs und HALs, Bootloader und Open-Source-Bibliotheken.
Die beiden gängigen Formate sind SPDX und CycloneDX. Wählen Sie das Format, das Ihre Werkzeuge und Kunden verarbeiten können.
Im Build erzeugen
- Yocto-basierte Images können SPDX-Dokumente aus den Build-Metadaten erzeugen.
- Zephyr bringt Werkzeuge mit, um SPDX aus einem Build zu erzeugen.
- Bei Bare-Metal-Projekten erfassen Sie eingebundene Komponenten und Versionen im Build-System und exportieren sie beim Release.
- Pflegen Sie die SBOM nie von Hand - sie entfernt sich sonst von der echten Firmware.
Nützlich halten
- Die SBOM zu jeder veröffentlichten Firmware-Version ablegen.
- Komponenten regelmäßig mit Schwachstellendatenbanken abgleichen.
- Neue Funde an das verantwortliche Produktteam leiten, mit einer Frist für die Bewertung.
Warum das für den CRA wichtig ist
Ab dem 11. Dezember 2027 verlangt der CRA von Herstellern, Komponenten zu identifizieren und zu dokumentieren, einschließlich einer SBOM. Ohne sie wird die Frage „Sind wir betroffen?“ nach einer neuen Schwachstelle langsam und fehleranfällig. Siehe unsere Leistung Cybersicherheit & CRA.