SBOM: información sobre componentes, formatos y mantenimiento
Sytance · Actualizado
Una lista de materiales de software (SBOM) describe los componentes de software que forman una aplicación o sistema y las relaciones entre ellos. Ofrece al equipo un punto de partida para inventariar componentes, revisar licencias e investigar vulnerabilidades. Su valor depende de la precisión con la que describa el software realmente entregado.
El producto que describe una SBOM
Una SBOM describe una versión concreta de un producto, una compilación o un artefacto, como una imagen de firmware o un paquete de instalación. Las entradas de componentes identifican las bibliotecas y otros programas incluidos en ese alcance. Sus versiones, productores, identificadores y relaciones ayudan a explicar qué se incluyó.
En el ejemplo ficticio de una pasarela industrial, el producto de destino es la versión de firmware. Su aplicación de gestión y las bibliotecas integradas son componentes. Un servicio remoto de telemetría es una dependencia externa; describirlo no significa que sus paquetes del lado del servidor estén incluidos en el firmware.
El ejemplo público utiliza componentes inventados para facilitar la lectura de la estructura. No es un inventario de componentes de Sytance ni de una pasarela comercializada.
Identificadores de componentes
Dos paquetes con nombres parecidos pueden pertenecer a ecosistemas de paquetes distintos. Package URL (purl) identifica un paquete mediante campos como tipo, espacio de nombres, nombre y versión. Un hash de archivo ayuda a identificar un archivo exacto cuando se conocen el algoritmo de hash y el archivo sometido a hash.
Utilice los metadatos del paquete o la información del proveedor para establecer los identificadores. Un purl formado a partir de un proveedor supuesto puede apuntar al paquete equivocado. Conserve la cadena de versión original porque una compilación posterior puede incluir su propia revisión de parche.
Tanto SPDX como CycloneDX representan información sobre componentes de software y sus relaciones. Los campos disponibles y su significado exacto dependen de la versión del formato. Elija una versión que puedan procesar las herramientas de producción y recepción.
Precisión y cobertura del inventario
Un archivo puede ser JSON válido y aun así describir una versión incorrecta. Compare la SBOM con las entradas de compilación y el artefacto distribuido, e investigue las discrepancias. Una lista de dependencias del código fuente puede incluir herramientas de desarrollo que nunca se distribuyeron y omitir bibliotecas copiadas en la imagen.
- Objetivo: el producto, la versión y el artefacto coinciden con la versión distribuida.
- Identidad: es posible rastrear las versiones e identificadores de los componentes hasta la evidencia.
- Relaciones: las rutas de dependencia están presentes y tienen sentido.
- Cobertura: se muestran los datos de proveedores que faltan y las partes aún no analizadas.
- Intercambio: la herramienta receptora conserva los campos necesarios para el uso previsto.
Elementos mínimos de la SBOM de 2026
La guía titulada 2026 SBOM Minimum Elements, publicada conjuntamente por CISA y organismos asociados, actualiza las orientaciones de la NTIA de 2021. Aborda los metadatos del documento, los datos de componentes y las prácticas para mantener y compartir SBOM. Es una guía y declara que no crea nuevos requisitos.
Para una entrega, indique la especificación, la versión del formato y los requisitos adicionales del cliente acordados. El resultado de validar un esquema, por sí solo, no demuestra que esté completa la información solicitada por el cliente.
Coincidencias de vulnerabilidades e impacto en el producto
Una coincidencia de vulnerabilidad relaciona un problema notificado con la identidad o la versión de un componente. La siguiente pregunta es si el código afectado está presente y puede explotarse en este producto. Compruebe las opciones de compilación, las modificaciones, las rutas de ejecución y las condiciones descritas en el aviso.
Vulnerability Exploitability eXchange (VEX) comunica una evaluación de una vulnerabilidad concreta para los productos identificados. Vincule esa evaluación a la versión distribuida y al análisis que la sustenta. La ausencia de coincidencias puede reflejar una cobertura limitada o identificadores incompletos.
Registros de versiones con soporte
Archive el inventario original junto con la versión distribuida. Si nueva información corrige la SBOM sin modificar el software, emita una revisión documental trazable. Si cambia el software, cree un registro para la nueva versión.
Cuando un nuevo aviso identifique una vulnerabilidad de un componente, busque en los inventarios de todas las versiones con soporte. Los clientes quizá sigan utilizando una versión anterior cuyos componentes difieren de los del producto actual.