Sonatype BOM Doctor 简介

Sonatype BOM Doctor 是一款由 Sonatype 开发的免费工具，托管在 GitHub 上，用于扫描软件物料清单（SBOM），并识别其中的安全漏洞和法律问题。

SBOM 的定义与作用

SBOM 类似于传统制造业中的物料清单，用于追踪组成产品的各个部件。在软件领域，SBOM 列出了程序中使用的所有库及其依赖关系树，同时提供已知漏洞和许可信息。SBOM 是防止恶意供应链攻击的关键工具，因为它允许及时更新易受攻击的依赖项，从而减少代码重构的时间。

BOM Doctor 的功能

1. 扫描方式：用户可以通过提交 SBOM 文件或 GitHub 仓库 URL 进行扫描。
2. 生成报告：工具可以生成 SBOM 图或包含所有依赖项的报告，标注法律风险和已知漏洞及其严重性。
3. 报告共享：生成的报告可以下载并与团队共享。

SBOM 的重要性

• 对于开源项目，生成 SBOM 相对简单。
• 对于专有产品，SBOM 是了解其内容并评估安全或法律风险的唯一途径。

SBOM 的法律与政策背景

SBOM 目前尚未成为法律要求，但已被纳入多个官方文件中，包括：

• 2022 年 9 月美国国家安全局（NSA）、网络安全和基础设施安全局（CISA）以及国家情报总监办公室（ODNI）发布的指南。
• 零信任网络安全倡议中可能包含的要求。

Sonatype 的其他安全工具

除了 BOM Doctor，Sonatype 还提供以下免费工具，帮助提升供应链安全性：

1. Sonatype Safety Rating：评估项目安全性的工具。
2. Sonatype Lift：代码分析平台，用于识别代码中的潜在问题。