在此版本中
- 改进 C/C++ 库
- 利用 PE 信息检测 DLL/EXE 库
- 为 C/C++ 库添加更多签名
- 支持处理 CycloneDX 文件格式
在 SBOM软件 物料清单）技术 4.0.0 版的最新增强功能中，我们扩大了数据库对二进制组件（如 DLL 和 EXE 文件）的覆盖范围，通过 PE（可移植可执行文件）元数据改进了二进制识别，并启用了 CycloneDX SBOM 报告的验证和丰富功能。
二进制盲点
传统的 SBOM 解决方案主要依靠软件包管理器和清单文件（如 requirements.txt、package.json）来识别第三方组件。虽然这种方法对许多现代应用程序都很有效，但也存在很大的盲点，特别是在以下情况中：
- 没有持续使用软件包管理器的项目：包含未被软件包管理器跟踪的 DLL 库的 C/C++ 项目，对于 SBOM 生成工具来说可能是不可见的。
- 包含嵌入式第三方二进制文件的软件 安装程序：安装程序通常包含没有明确元数据的第三方二进制依赖程序，因此很难对其进行跟踪。
- 工件库中的二进制格式库：JFrog Artifactory、Nexus Repository 或 Apache Archiva 等工件库以二进制格式（whl、egg、zip）而非源代码存储库。这些二进制包也缺少声明，这也限制了传统 SBOM 的可见性。
这些漏洞会带来安全风险--二进制依赖关系不可见，安装包未被检查，未声明依赖关系中的漏洞无法跟踪。
缩小 SBOM 二进制安全差距
为了解决这些关键盲点，OPSWAT SBOM 4.0.0 通过多种互补方法增强了功能：
扩大二进制组件数据库覆盖范围
我们大幅扩展了 C、C++ 和 C# 二进制文件（DLL、EXE）的签名数据库。即使在软件包管理器元数据不可用的情况下，软件 团队也能识别嵌入式第三方库。
通过此次更新，OPSWAT SBOM 可确保对源代码、编译后的二进制文件和软件安装程序进行全面的组件跟踪。
利用元数据分析精确识别图书馆
我们的新版本利用 PE（可移植可执行文件）元数据分析来识别二进制文件，并将其与已知漏洞和许可数据库进行匹配。这种自动方法取代了以前耗时且容易出错的手动流程。
如何使用
- OPSWAT SBOM 可利用二进制形式的第三方库（DLL、EXE）的签名和 PE（可移植可执行文件）元数据对其进行检测。
- 将提取的二进制信息与已知库和版本进行映射
- 然后将这些发现与我们的漏洞和许可证数据库进行交叉比对。
好处
- 识别第三方组件，包括手动管理的 C/C++ 库和安装包
- 利用元数据分析提高识别二进制组件的准确性
- 即使没有软件包管理器声明，也能检测到依赖关系，从而降低安全风险
- 实现全面的漏洞管理和安全评估
利用元数据分析精确识别图书馆
将 SBOM 与工件库集成
除了直接扫描二进制库外，OPSWAT SBOM 和MetaDefender 软件 Supply Chain 还支持与 JFrog Artifactory 等人工制品库的本地集成，以扫描原始软件包并检索其元数据。了解有关 JFrog Artifactory 集成的更多信息。
这种交叉引用可准确识别嵌入式第三方库，确保团队不会遗漏项目二进制组件中的关键安全信息。
CycloneDX SBOM 报告验证和充实
如何使用
导入现有 SBOM
用户提供 CycloneDX 格式的 SBOM 报告，作为分析和验证的基准。
验证和丰富
OPSWAT 重新扫描 SBOM，根据我们的数据库验证列出的组件，并补充缺失的详细信息，包括
- 漏洞洞察（CVE 检测和严重性评级）
- 许可数据
- 版本跟踪（过期版本和修复补丁）
此外，带有已知 CVE 或未经批准的许可证的文件将根据预先配置的策略被标记或阻止。
生成和导出增强型 SBOM
更新后的 SBOM 包括更多安全见解。以 JSON、CycloneDX 或 SPDX SBOM 格式导出丰富的调查结果。
二进制检测为何重要
全面Vulnerability Management
当新的 CVE 公布时，安全团队可以立即评估它们是否受到影响，即使是二进制形式的组件。这就消除了漏洞响应工作流程中的安全盲点。
合规和监管准备
面对越来越多的监管要求或客户对 SBOM 的需求，企业可以确保所有组件都得到说明，而不仅仅是那些通过软件包管理器管理的组件。
安装包安全评估
软件 分发包通常包含大量第三方组件。二进制检测扩展了安装程序的可视性，确保到达客户的所有依赖项都经过清点和安全检查。
遗留代码库支持
现在，缺乏现代依赖性管理的旧版应用程序也可纳入软件供应链安全计划，而无需人工跟踪或大量返工。
关于OPSWAT SBOM
OPSWAT SBOM 通过提供软件应用程序堆栈中软件组件的准确清单，实现了软件的透明化。利用OPSWAT SBOM，开发人员可以识别已知漏洞、验证许可证并生成 OSS（开源软件）、第三方依赖项和容器映像的组件清单。软件 团队可以在不影响开发速度的情况下，保持合规性并领先于攻击者。
了解有关 SBOM 如何在opswat 上帮助确保应用程序安全的更多信息。
