제품 릴리스 전반의 SBOM 유지관리
Sytance · 업데이트
SBOM은 설명 대상 소프트웨어 릴리스와 계속 연결되어 있어야 합니다. 소프트웨어 업데이트는 구성 요소를 바꿀 수 있지만, SBOM 정정은 변경되지 않은 릴리스에 관한 정보만 바로잡을 수 있습니다. 두 버전을 모두 기록하면 고객에게 제공된 내용과 이를 정확히 설명하는 목록을 확인할 수 있습니다.
각 목록이 설명하는 소프트웨어
빌드 또는 릴리스 과정에서 반복 가능한 시점을 정해 SBOM을 생성하세요. 목록을 재현하거나 조사하는 데 필요한 소스 리비전, 확정된 종속성, 빌드 구성, 최종 산출물 식별 정보를 보존하세요.
CycloneDX 안내서는 소스 코드에서 생성하는 목록, 빌드 중 생성하는 목록, 운영 중 생성하는 목록을 구분합니다. 단계마다 포함되는 소프트웨어가 다를 수 있습니다. 단계를 명시하면 SBOM이 선언된 종속성, 빌드 결과 또는 배포된 소프트웨어 중 무엇을 설명하는지 수신자가 알 수 있습니다.
게이트웨이의 경우 애플리케이션 빌드, 기본 이미지, 공급된 펌웨어 구성 요소의 정보를 취합하세요. 각 공급업체 SBOM과의 연결 관계를 유지하세요. 게이트웨이가 사용하는 클라우드 서비스는 자체 릴리스 주기에 따라 별도의 목록이 필요할 수 있습니다.
릴리스 간 구성 요소 변경
릴리스 비교를 통해 추가, 제거, 업그레이드 또는 재빌드된 구성 요소와 변경된 종속 경로를 확인할 수 있습니다. 구성 요소 수만 비교하면 교체를 놓칠 수 있습니다. 라이브러리 하나가 제거되고 다른 라이브러리가 추가되어도 총수는 그대로일 수 있습니다.
비교할 때는 정규화된 식별 정보를 사용하되 원래 버전과 식별자는 보존하세요. 도구가 이전에는 알 수 없던 패키지를 새롭게 인식하기 시작했다면, 가시성 향상과 실제 소프트웨어 변경을 구분하세요.
- 추가 또는 제거된 구성 요소 및 상위 종속 경로.
- 버전 변경, 후속 패치, 산출물 해시 변경.
- 라이선스 선언 또는 구성 요소 제작자 변경.
- 새로운 누락, 정정된 식별자, 공급업체 SBOM 개정.
릴리스 전 점검
먼저 형식 버전에 따라 파일을 검증한 다음 의미를 확인하세요. 모든 참조가 유효한지, 루트 제품이 의도한 릴리스인지, 수신자가 연결된 구성 요소 SBOM을 이용할 수 있는지 확인하세요.
후보 릴리스에 대한 취약점 및 라이선스 점검을 실행하고 해당 릴리스와 연결해 결과를 기록하세요. 새로 도입된 우선순위 높은 문제는 처리 결정을 내려야 합니다. 구성 요소 버전이나 운영 가정이 바뀌었다면 기존 예외를 다시 검토하세요.
승인된 산출물, SBOM, 빌드 참조 정보, 검토 결과를 함께 보관하세요. 서명을 사용한다면 서명을 검증하고 예상한 발급자에게서 온 것인지 확인하세요.
기존 SBOM 정정
2026년 공동 SBOM 지침은 소프트웨어 버전 또는 업데이트마다 SBOM을 작성하고, 오류를 정정하거나 새로운 구성 요소 정보가 확인되면 SBOM을 개정하도록 권고합니다. 또한 알 수 없는 정보와 의도적으로 공개하지 않은 정보를 구분합니다.
예를 들어 펌웨어 바이트는 그대로인데 공급업체가 구성 요소 제작자를 정정할 수 있습니다. 펌웨어 식별 정보를 유지하고 새 SBOM 리비전을 발행해 정정 내용을 설명하며 이전 문서도 보관하세요. 그러면 수신자가 데이터 정정과 소프트웨어 업데이트를 구분할 수 있습니다.
합의된 배포 채널을 통해 업데이트를 게시하세요. 안정적으로 유지되는 안내 페이지에서 현재 리비전을 안내하고, 변경할 수 없는 파일로 이력을 보존할 수 있습니다. 수신자가 어느 리비전이 이전 리비전을 대체하는지 알 수 있는지 확인하세요.
지원되는 릴리스의 신규 취약점
권고문이 접수되면 지원되는 릴리스 전반에서 구성 요소 식별 정보를 검색하세요. 영향을 판단하기 전에 실제 빌드와 제품 사용 방식을 검토하세요. 동일한 SBOM을 새로운 정보가 나올 때마다 재평가할 수 있도록 구성 요소 목록과 취약점 평가를 별도로 유지하세요.
게이트웨이 릴리스 1.0에 취약한 라이브러리가 있고 릴리스 1.1에서 제거되더라도, 새 릴리스가 이미 설치된 1.0 기기의 구성을 바꾸지는 않습니다. 해당 기기에 대한 대응은 여전히 필요하며 권고문 또는 VEX 문서가 적용되는 버전을 정확하게 기록해야 합니다.
공급업체 업데이트를 누가 유지관리하고, 누가 영향을 평가하며, 누가 대응을 승인하고, 누가 이를 전달할지 합의하세요. 다음 정기 릴리스만 기다리지 말고 제품 지원 의무와 새로운 정보의 심각성에 따라 검토 시점을 정하세요.
기록 보존 및 인계
지원 종료 시 과거 제공 내용을 설명하는 데 필요한 릴리스와 SBOM의 매핑 및 결정을 보존하세요. 적절한 경우 민감한 기록에 대한 접근을 제한하되, 권한 있는 수신자는 제공받기로 한 정보를 계속 얻을 수 있어야 합니다.
인계받는 유지관리자는 제품 버전의 목록을 찾고 구성 요소를 찾아 최신 영향 평가를 확인할 수 있어야 합니다. 지원 중인 릴리스 하나를 실제로 따라가 보면 누락된 기록이나 접근 권한 문제를 찾는 데 도움이 됩니다.