在软件安全方面，Software 物料Software （SBOM）至关重要，但仅凭SBOM本身只能描述风险。当将SBOM与扫描、策略执行和数据丢失防护相结合，主动阻止不安全的软件时，主动安全防护能力便得以增强。
仅仅了解软件内部的组成是不够的；您还需要采取措施积极保护您的系统。我们将详细解析这一点为何重要，以及 DevSecOps 团队如何在SBOM 之外进一步提升您的系统安全性。
“后SBOM安全”的含义
生成SBOM并不能消除风险。事实上，许多风险是在 SBOM 生成之后才出现的。组件可能会随着时间推移而变得存在安全漏洞，本应可信的二进制文件中可能被植入恶意软件，或者敏感数据可能会被意外包含其中。甚至第三方构建产物也可能在无人察觉的情况下绕过您的构建管道。
创建 SBOM 之后，为了确保软件的安全性，还有大量工作需要完成。接下来的步骤包括主动扫描并执行策略，以保护您的系统：
- 检查实际的软件构建产物。
- 使用多个检测引擎扫描恶意软件。
- 检查是否存在敏感数据泄露。
- 验证现有的 SBOM 以丰富报告数据。
- 自动执行安全策略，以阻止高风险软件。
Supply Chain 多层安全防护保障Software Supply Chain 安全
当构建产物进入管道时，它们来自多种来源：内部构建、开源项目、容器以及第三方。无论来源如何，每个构建产物都会根据其实际内容进行评估。安全风险并非仅源于标签或来源信息——它源于软件内部的真实内容。
这就是软件供应链安全（SSCS）发挥作用的地方。SSCS 并不将 SBOM 视为最终检查点，而是将其视为持续执行过程的一部分。一旦软件工件进入开发人员的工作站，SSCS 解决方案就会对其进行持续的检查和控制，以确保只有可信的软件才能在构建管道中继续前进。
检测Software 中的恶意包
MetaDefender Software Supply Chain 会检查软件组件本身，进行超越依赖项列表的深度分析。
此次检测的关键环节在于多引擎恶意软件扫描。每个文件都会通过多个检测引擎进行分析，而非仅依赖单一检测结果。单引擎检测可能会导致覆盖范围存在漏洞。不同的引擎分别擅长检测不同的威胁类型、文件格式和攻击技术。
通过整合多个引擎的检测结果，检测准确率提升至99%以上，并有效减少了单引擎扫描中常见的盲区。
随后，系统会将 SBOM 与实际二进制文件进行比对验证。系统不会盲目假设其准确性，而是会验证 SBOM 是否真实反映了软件内部的实际内容。系统会识别并处理缺失的组件、错误的条目以及未声明的依赖关系，从而弥合文档与实际情况之间的差距。
防止敏感数据随Software一同发送
供应链安全不仅涉及漏洞和恶意软件，还包括防止敏感数据作为软件被分发。
SBOM 无法识别构建产物中是否嵌入了机密信息、凭据、证书或受监管数据。MetaDefender Software Supply Chain Proactive DLP 控制措施直接对软件工件进行机密检测，从而发现并阻止嵌入的硬编码机密（包括密码、API 及其他类型的敏感数据），防止其被威胁行为者窃取。
自动强制执行信任
DevSecOps 团队没有能力手动监控每一个新的软件组件——尤其是在项目规模扩大时。
借助自动化软件供应链扫描功能，新软件包会持续或按预定时间表进行扫描。系统会主动向用户发出新兴威胁的警报，无需人工持续监控，从而显著减轻了运维负担。
如果某个软件组件包含恶意软件、严重漏洞、敏感数据或不完整的软件材料清单（SBOM），则可在其进入生产环境或下游系统之前被拦截。未能通过策略检查的Software 将被阻止继续流转。
要切实降低风险，必须将可视性与强制执行相结合。这可以通过控制环境中允许运行的内容来实现。MetaDefender Software Supply Chain 这一差距，将 SBOM 可视性转化为贯穿整个软件供应链的可强制执行的信任。
主要区别一览
| 方面 | 仅SBOM | MetaDefender 软件 Supply Chain |
|---|---|---|
| Core | 列出组件 | 扫描、验证和强制执行（主动拦截） |
| 漏洞处理 | 在构建时标记已知问题 | 检测新出现的漏洞、恶意软件以及潜在的机密泄露 |
| SBOM 验证 | 生成一次 SBOM 报告 | 通过将外部 SBOM与全面的数据库进行比对，以提升洞察的完整性和准确性 |
| 恶意软件检测 | 依赖于人工检查 | 采用 30 多种反病毒引擎，以提升恶意软件检测覆盖率 |
| 政策执行 | 人工审核 | 自动屏蔽高风险软件 |
| 敏感数据 | 无内置扫描功能 | 自动检测机密信息、个人身份信息（PII）和令牌 |
只有当 SBOM 与实际起作用的控制措施相结合时，才能发挥其强大作用。立即了解MetaDefender Software Supply Chain 如何与您的安全架构无缝Supply Chain 。
