Когда берём
Требование заказчика предоставить SBOM, выход в реестр, ответ на инцидент в чужой библиотеке.
Аудит по OWASP / SCVS
Состав и происхождение
Цепочка поставки и SBOM
Из чего собрано ваше приложение и кто это может подменить
- Редакция
- SCVS 1.0 · CycloneDX
- Выпущена
- SCVS — 2020, CycloneDX — развивается непрерывно
- Пунктов
- 5
- Сверено с источником
- 09.09.2026
В редакции Top 10 2025 года цепочка поставки поднялась до третьего места и перестала быть просто «устаревшими библиотеками». Вопрос теперь шире: из чего собран артефакт, кто мог вмешаться в сборку, чем подтверждается, что в прод уехало ровно то, что собрали.
Практический слой здесь инструментальный. SBOM — опись состава ПО; формат CycloneDX, выросший из OWASP, принят Ecma International как ECMA-424, то есть это уже международный стандарт, а не только проект фонда. Dependency-Track непрерывно сверяет накопленные SBOM с базами уязвимостей, Dependency-Check сканирует зависимости проекта.
Когда не берём
Проверка собственного кода — SBOM про чужой.
Список
5 пунктов по-русски
Кромка слева нейтральна: список не ранжирован, и выдумывать приоритет мы не станем.
Инвентарь
Опись
Inventory
- полнота SBOM, включая транзитивные зависимости
- формат и машиночитаемость
- обновляется ли опись при каждой сборке
Происхождение
Происхождение
Provenance
- откуда пришёл каждый компонент
- подписи и проверка целостности
- зеркала и внутренние прокси-реестры
Сборка
Сборка
Build
- воспроизводимость сборки
- кто и с какими правами может опубликовать артефакт
- изоляция сборочной среды
Уязвимости
Уязвимости компонентов
Vulnerabilities
- известные уязвимости в составе
- процесс реакции на новую CVE в зависимости
- VEX: применима ли уязвимость к вашему использованию компонента
Лицензии
Лицензии и права
Licenses
- совместимость лицензий с моделью распространения
- компоненты без лицензии
Где применяется
Форматы работы, в которых используется эта карта
Заявка
Нужна проверка по этой методологии?
Расскажите, что за система и почему вопрос возник сейчас. Скажем, какой формат подходит и что реально стоит проверять, а что можно не трогать.