SBOM 与软件供应链安全
软件物料清单以及管理软件供应链中的第三方依赖、来源和漏洞。
快速解答
在 SBOM 中跟踪每一个依赖，持续将其与 CVE/KEV 数据比对，固定并验证来源；只有这样，当新的漏洞被披露时你才能迅速回答“我们是否受影响”。
定义
SBOM 是软件制品中所有组件的机器可读清单；使用它可以让组织识别、排序并修复存在漏洞或恶意的依赖。
它是什么
SBOM（软件物料清单）列出软件制品的每个组件、版本和依赖。它是供应链安全的基础：你无法保护你无法枚举的东西。
为什么重要
高影响的供应链事件利用的是受信任且未被察觉的依赖。借助 SBOM，你可以在 CVE/KEV 披露后几分钟内回答“我们是否在运行存在漏洞的版本？”——这就是已打补丁的姿态与紧急状态之间的差别。
它如何工作
- 在构建时生成 SBOM（CycloneDX/SPDX）；存储并重新验证来源。
- 持续将组件与 NVD/KEV CVE 数据比对（参见
guides:tool-cve-guide）。 - 固定精确版本，审查新增/传递依赖，并留意域名仿冒或改名的包。
检测
- 在你 SBOM 的某个依赖中匹配到已披露的 CVE/KEV。
- 合并请求中出现意外的版本升级或新的传递依赖。
缓解
- 在 CI 中自动化 SBOM 生成 + CVE 匹配（参见
security:devsecops）。 - 优先选择已签名、维护良好的包；保持依赖更新的节奏。
- 将被列入 KEV 的存在漏洞依赖视为阻断性事件。
调查
面对已披露的 CVE，查询你的 SBOM 中受影响的组件，确认其在你代码中的可达性，然后打补丁/升级并验证。关于严重性和 KEV 上下文，参见 guides:tool-cve-guide。