SBOM 为基础的云原生应用安全治理

• 语言: 中文（简体）
• 格式: .pdf
• 来源: github.com/cncf

摘要

文档主要介绍了基于SBOM（软件物料清单）的云原生应用安全治理方法。SBOM是云原生时代应用风险治理的基础设施，用于实现对第三方组件（开源和闭源）的风险治理，可深度融合DevOps生产模式，并与多种DevSecOps工具链联动。文档详细阐述了SBOM在开发端和运营端的应用场景，包括成分清单的可见性和监管机构的可信度保障，以及在风险治理中的具体实践。同时，文档指出尽管SBOM在提供云原生应用可见性方面具有重要作用，但目前只有三分之一的组织遵循SBOM最佳实践，并提出了基于SBOM构建云原生应用风险治理流程的建议。

AI总结

## 《SBOM 为基础的云原生应用安全治理》总结

### 一、SBOM 的定义与特点
- **SBOM（软件物料清单）**：是云原生时代应用风险治理的基础设施，用于管理第三方组件（开源+闭源）的风险。
- **特点**：
- 治理第三方组件风险的必备工具。
- 可与DevOps生产模式深度融合。
- 能与多种DevSecOps工具链（如SCA、RASP、漏洞情报）联动，提升安全效能。
- 在云原生应用的开发端和运营端均发挥作用。

### 二、SBOM 的作用
- **核心作用**：
- 提供云原生应用的可见性，帮助实现透明度。
- 通过成分清单和监管机构保障可信度。
- 支持风险治理，优化安全事件的响应时间。
- **应用场景**：
- **开发团队**：用于管理软件资产，评估安全风险，筛选组件/软件。
- **安全团队**：通过SBOM分析风险，持续监控并响应安全事件。
- **法务团队**：核查软件授权问题，避免合规风险。

### 三、SBOM 的实践现状
- **现状**：
- 根据《Anchore 2022 软件供应链安全报告》，仅三分之一的组织遵循SBOM最佳实践。
- 当前实践主要集中在：
- 开发测试阶段：通过SCA工具对接DevOps流程，检测漏洞。
- 运营阶段：通过SBOM持续监控组件情况，结合RASP进行防护。
- **问题**：
- 合规需求未满足，安全基线未建立。
- 存在业务逻辑漏洞、容器镜像风险、软件漏洞等问题。

### 四、基于SBOM 的云原生安全治理流程
- **治理流程**：
- **开发阶段**：源头检测，通过SCA工具检测漏洞。
- **出厂阶段**：免疫机制，使用RASP进行实时防护。
- **运营阶段**：持续运营，结合SBOM和安全工具进行监控和修复。
- **工具链**：
- 轻量级探针端 + 统一管控中心 + 积极防御插件。
- 支持多种语言（Java、PHP、Python、NodeJS、GO、.Net等）。
- 分布式高可用架构，支持字节码注入和检测算法。

### 五、总结
- SBOM 是云原生应用安全治理的关键基础设施，能够帮助组织实现第三方组件风险的全面管理。
- 通过与DevSecOps工具链的深度联动，SBOM 可以在开发、测试和运营阶段提供持续的安全保障。
- 当前 SBOM 的应用仍需进一步普及和优化，以满足日益复杂的云原生安全需求。