SBOM
SBOM(Software Bill of Materials)은 소프트웨어 자재명세서라고도 하며 특정 소프트웨어에 포함된 오픈소스 소프트웨어에 대한 정보를 목록으로 정리한 파일입니다.
SBOM은 SPDX, CycloneDX, Software Identification, NIS SBOM표준 등 다양한 형식이 있으며 스패로우에서도 여러 종류의 SBOM을 생성할 수 있도록 지원하고 있습니다. SBOM 형식에 따라 포함되는 내용에 조금씩 차이가 있지만 기본적으로 오픈소스 소프트웨어의 컴포넌트 이름, 버전, 공급자, 라이선스, 식별자, 해시 값, 출처 등의 정보를 담고 있습니다.
최근에는 단순한 SBOM 생성을 넘어 SLSA(Supply-chain Levels for Software Artifacts)와 같은 프레임워크를 통해 소프트웨어의 무결성을 증명하고 공급망 보안을 강화하는 데 활용되고 있습니다. 즉, 소프트웨어의 공급자와 수요자가 소프트웨어에 포함된 컴포넌트의 정보를 공유하고 지속적으로 업데이트할 수 있는 수단으로 SBOM을 사용합니다.
