sbom

コンテナイメージおよびファイルシステムからSoftware Bill of Materials (SBOM)を生成するためのCLIツールおよびライブラリ

Dependency-Trackは、組織がソフトウェアサプライチェーンにおけるリスクを特定し軽減することを可能にするインテリジェントなコンポーネント分析プラットフォームです。

既知の脆弱性を持つJavaScriptライブラリの使用を検出するスキャナー。検出したライブラリのSBOMを生成可能。

EMBA - ファームウェアセキュリティ分析ツール

:mag: ScanCodeは、コードをスキャンしてライセンス、著作権、依存関係を検出し、コード内で使用されているオープンソースおよびサードパーティ製パッケージを発見・インベントリ化します。NLnet、Google Summer of Code、Azureクレジット、nexBなどの寛大なスポンサーによって支援されています。

ソフトウェアのコンプライアンスチェックを自動化するツールスイート

SBOM tool は、あらゆる種類の成果物に対して SPDX 2.2 互換の SBOM を作成するための、高いスケーラビリティとエンタープライズに対応したツールです。

Kubernetes 向けのエアギャップ対応ネイティブパッケージマネージャー

CVE Binary Tool は、システムに既知の脆弱性が含まれているかどうかを判断するのに役立ちます。openssl、libpng、libxml2、expat など、350 以上の一般的な脆弱性のあるコンポーネントについてバイナリをスキャンできます。また、使用しているコンポーネントが分かっている場合は、SBOM やコンポーネントとバージョンのリストに関連付けられた既知の脆弱性のリストを取得できます。

GUAC はソフトウェアセキュリティのメタデータを高精度なグラフデータベースに集約します。

HummerRisk は、ハイブリッドクラウドのセキュリティガバナンスやクラウドネイティブのセキュリティ検出を含む、クラウドネイティブセキュリティプラットフォームです。

LunaSec - Pull Request やビルドにおける Log4Shell や node-ipc などの脆弱性を自動的に通知する依存関係セキュリティスキャナ。LunaTrace GitHub App を使って 30 秒で身を守る: https://github.com/marketplace/lunatrace-by-lunasec/

OWASP dep-scan は、既知の脆弱性、アドバイザリ、ライセンス制限に基づきプロジェクト依存関係のセキュリティとリスクを監査する次世代ツールです。ローカルリポジトリとコンテナイメージの両方を入力としてサポートし、統合用途に最適です。

OpenSCAは、オープンソースの依存関係、脆弱性、ライセンスコンプライアンスの検出をサポートするオープンソースのソフトウェアサプライチェーンセキュリティソリューションであり、コミュニティから高い精度で広く注目されています。

purl（ほぼ普遍的なパッケージ URL）の最小限の仕様。https://gitter.im/package-url/Lobby でのディスカッションに参加してください。

ソースコードやコンテナイメージからプロジェクトのCycloneDX部品表（BOM）を作成します。多くの言語とパッケージマネージャーをサポートしています。Dependency Trackサーバーへの自動送信機能を備えてCI/CDパイプラインに統合できます。

Tern は、コンテナイメージや Dockerfile の Software Bill of Materials (SBOM) を生成するソフトウェア構成分析ツールおよび Python ライブラリです。Tern が生成する SBOM により、人間が読める形式、JSON、HTML、SPDX など様々なフォーマットで、コンテナ内のレイヤーごとの構造を確認できます。

本番環境のRustバイナリを監査可能にする

Subdomain Center および Exploit Observer 向け公式 CLI ユーティリティ (Panthera(P.)uncia)

ソフトウェア部品表 (SBOM) のセキュリティ脆弱性をスキャンします

🎁 マシン上の全パッケージを1つのファイルにスナップショットし、新しいマシンで復元する

SBOM（Software Bill Of Materials）に関連するツール、フレームワーク、ブログ、ポッドキャスト、記事の厳選リスト

これは https://codeberg.org/fsfe/reuse-tool のミラーです

ソフトウェアサプライチェーンの証明、SBOM、VEX、SARIF、QA レポートなどのための SDLC エビデンスストアおよびポリシーエンジン。

プロジェクトをスキャンして使用されているコンポーネントを特定

OWASP CycloneDX は、サイバーリスク低減のための高度なサプライチェーン機能を提供するフルスタックの Bill of Materials (BOM) 標準です。SBOM、SaaSBOM、HBOM、AI/ML-BOM、CBOM、OBOM、MBOM、VDR、VEX に対応しています

SBOM の分析、マージ、差分、フォーマット変換を行う CycloneDX CLI ツール