14.6. スキャンしたイメージから SBOM を生成する

Software Bill of Materials (SBOM) は、ソフトウェア部品のコンポーネントとその起源をリストしたデジタルレコードです。組織は SBOM を使用して脆弱なソフトウェアパッケージやコンポーネントの存在を特定し、より迅速に対応してリスクを軽減できます。さらに、SBOM を生成できれば、組織は Executive Order 14028: Improving the Nations Cybersecurity に準拠しやすくなります。

SBOM には、データ収集方法と生成方法に応じて、さまざまな種類の情報を含めることができます。Cybersecurity & Infrastructure Security Agency (CISA) は、SBOM のタイプをまとめた Types of Software Bill of Materials (SBOM) という資料を提供しています。

RHACS が生成する SBOM のタイプは "Analyzed" です。CISA は、これらのタイプの SBOM は、実行可能ファイル、パッケージ、コンテナー、仮想マシンイメージなどのアーティファクトの分析を通じて作成されると指摘しています。CISA がまとめているように、Analyzed SBOM には次のような利点があります。

RHACS は、System Package Data Exchange (SPDX) 2.3 形式の SBOM を生成します。