ARK. 1Słownik pojęćChmura, kontenery i łańcuch dostaw
SBOM (wykaz komponentów oprogramowania)
Maszynowo czytelny wykaz wszystkich komponentów, bibliotek i zależności wchodzących w skład oprogramowania wraz z ich wersjami, pozwalający sprawdzić, czy produkt zawiera podatny element.
TAB. 1Nazwabez tłumaczenia
| Po angielsku | software bill of materials (SBOM) |
|---|---|
| Po polsku | SBOM (wykaz komponentów oprogramowania) |
| Którą formą pisać | bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle. |
| Inne formy | wykaz komponentów oprogramowania · spis komponentów oprogramowania · zestawienie podstawowych materiałów do produkcji oprogramowania |
| Odmiana | Skrótowiec męski nieżywotny; w praktyce najczęściej nieodmieniany („zgodnie z SBOM”, „dostarczyć SBOM”). Przy odmianie zapis z łącznikiem: SBOM-u, SBOM-owi, SBOM-em, l.mn. SBOM-y. UWAGA: form odmienionych NIE potwierdzono w źródłach — to rekomendacja normatywna, nie uzus. |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | SBOM z angielskim rozwinięciem, objaśniane jako „wykaz komponentów” (sekurak) |
|---|---|
| Urząd i ustawa | CRA, polski tekst, motyw 22: „zestawienia podstawowych materiałów do produkcji oprogramowania” (art. 3 niezweryfikowany) |
TAB. 3Źródła2
| Forma | Cytat | Skąd |
|---|---|---|
| PL (EN) | „Trzeba prowadzić wykaz komponentów (Software Bill of Materials/SBOM), patrzeć na kondycję projektów (ilu jest opiekunów, jak szybko łatają, kto to finansuje), zamrażać wersje, weryfikować sumy kontrolne i mieć proces szybkiej reakcji na podatności.” | sekurak.pl |
| PL | „organy nadzoru rynku powinny mieć możliwość zwrócenia się do producentów o przedłożenie zestawień podstawowych materiałów do produkcji oprogramowania” | eur-lex.europa.eu |
TAB. 4Obok w tej dziedzinie5
| dependency confusion (podmiana zależności) | dependency confusion | Atak polegający na opublikowaniu w publicznym repozytorium pakietu o nazwie identycznej z wewnętrzną biblioteką firmy i wyższym numerze wersji, przez co system budowania pobiera i uruchamia kod atakującego zamiast własnego. |
| model współdzielonej odpowiedzialności | shared responsibility model | Podział obowiązków bezpieczeństwa między dostawcę chmury lub hostingu a klienta: dostawca odpowiada za bezpieczeństwo samej infrastruktury, klient za to, co w niej umieszcza — dane, konta, uprawnienia i konfigurację. Na hostingu WordPressa oznacza to, że firma hostingowa dba o serwer, a aktualizacje wtyczek, hasła i kopie zapasowe strony zwykle pozostają po stronie właściciela. |
| podpisywanie kodu | code signing | Opatrywanie programu, sterownika, aktualizacji lub paczki podpisem cyfrowym wydawcy, żeby system i użytkownik mogli sprawdzić, kto go wydał i czy nie został zmieniony. Kradzież klucza do podpisywania kodu pozwala napastnikom podpisywać malware tak, jakby pochodził od zaufanej firmy. |
| skanowanie obrazów kontenerów | container image scanning | Sprawdzanie obrazów Dockera (i innych kontenerów) pod kątem znanych podatności, przestarzałych pakietów, sekretów i malware, zanim zostaną uruchomione. Robi się to narzędziami typu Trivy czy Grype, najlepiej automatycznie w procesie budowania. |
| ucieczka z kontenera | container escape | Wykorzystanie podatności lub błędnej konfiguracji do wyjścia z izolacji kontenera i uzyskania dostępu do systemu operacyjnego hosta, a przez niego do pozostałych kontenerów i całego klastra. |
TAB. 5