SBOMit = SBOM + in-toto on SBOMit

Bắt đầu

Mon, 01 Jan 0001 00:00:00 +0000

Hướng dẫn này sẽ hướng dẫn bạn cách thiết lập Witness để theo dõi quá trình xây dựng, sau đó sử dụng SBOMit để tạo ra tệp SBOM được bổ sung thông tin từ tệp attestation thu được.

Điều kiện tiên quyết

Go phiên bản 1.19 trở lên
openssl
jq
base64 (một phần của GNU coreutils)

Phần 1: Witness

Witness bao bọc quy trình xây dựng của bạn và ghi lại các tệp bản dựng đã được ký (attestations), một bản ghi kiểm toán mật mã.

Câu hỏi thường gặp

Mon, 01 Jan 0001 00:00:00 +0000

Tại sao chúng ta cần các số liệu thống kê chính xác về “SBOMs”?

Khi lỗ hổng Log4Shell (CVE-2021-44228) bùng phát vào tháng 12 năm 2021, số lượng hệ thống bị ảnh hưởng đã tăng vọt từ 40.000 lên 830.000 chỉ trong vòng chưa đầy 72 giờ. Log4j đã bị ẩn đi dưới dạng một phụ thuộc gián tiếp, và hầu hết các nhóm không có cách nào để biết liệu họ có đang chạy nó hay không và ở đâu. Việc ứng phó sự cố đã biến thành một dự án rà soát trên toàn tổ chức.

Cộng đồng

Mon, 01 Jan 0001 00:00:00 +0000

SBOMit là một dự án cộng đồng mở được phát triển trong khuôn khổ Nhóm công tác về Công cụ bảo mật của Hiệp hội Phần mềm Mở (OpenSSF). Chúng tôi hoan nghênh các nhà đóng góp, người dùng và bất kỳ ai quan tâm đến việc nâng cao độ tin cậy của chuỗi cung ứng phần mềm.

Các cuộc họp

Lịch trình: Mỗi thứ Tư lúc 11:00 sáng theo giờ Miền Đông Hoa Kỳ Liên kết cuộc họp Zoom
Biên bản cuộc họp

Hãy làm quen với các nhà duy trì!

Người duy trì

Hãy tham gia Slack của chúng tôi!

Nhấp vào biểu tượng Slack ở cuối trang
Thêm hai kênh sau: #SBOMit và #sig-SBOM-everywhere

Tài liệu hướng dẫn

Mon, 01 Jan 0001 00:00:00 +0000

Tài liệu về đặc tả “SBOMit”, các công cụ và các bản triển khai tham chiếu sẽ được đăng tải tại đây.

Trong khi đó, nguồn thông tin chính thức là kho lưu trữ các tiêu chuẩn SBOMit.

Bắt đầu

Nội dung sẽ sớm được cập nhật.

Thông số kỹ thuật

Nội dung sẽ sớm được cập nhật.

Dụng cụ gia công

Nội dung sẽ sớm được cập nhật.