O que é uma Lista de Materiais de Software (SBOM)?
Uma SBOM é uma lista abrangente de todos os componentes de software, dependências e metadados associados a uma aplicação. A SBOM funciona como o inventário de todos os bloqueios de construção que compõem um produto de software. Com ela, a organização pode compreender, gerenciar e proteger melhor suas aplicações.
A necessidade de SBOMs é motivada por vários fatores que incluem:
- Garantir a transparência do software
- Gerenciar software de fonte aberta e dependências de terceiros
- Identificar e mitigar vulnerabilidades de segurança
- Cumprir requisitos legais e regulamentares
A Ordem Executiva para Melhorar a Cibersegurança da Nação foi emitida pelo governo dos EUA em maio de 2021 e destacou a importância das SBOMs para aumentar a segurança da cadeia de suprimentos de software.
SBOM como inventário
Uma SBOM contém um inventário de componentes de software e dependências. As aplicações de software modernas geralmente aproveitam bibliotecas e frameworks de terceiros. Muitas dessas dependências têm suas próprias dependências em outros componentes. O resultado é um aninhamento complexo de componentes interconectados. Uma compreensão clara dessas dependências é fundamental para a organização. Uma SBOM ajuda a fornecer visibilidade sobre essas relações e como uma aplicação é composta, permitindo que a organização gerencie melhor sua cadeia de fornecimento de software.
Neste inventário, estão incluídas informações sobre origens e licenças de componentes. Ao entender a fonte e o licenciamento de cada componente, uma organização pode garantir que o uso desses componentes esteja em conformidade com os requisitos legais e os termos de licenciamento. A SBOM permite que a organização avalie possíveis riscos de componentes incluídos, como usar componentes de uma fonte não confiável ou violar termos de licença.
Usando SBOMs para verificar vulnerabilidades conhecidas
Uma SBOM também desempenha um papel vital na identificação e mitigação de vulnerabilidades de segurança. Com um inventário de componentes e dependências, uma organização pode verificar sistematicamente o inventário em bancos de dados de vulnerabilidade conhecida (como o banco de dados Vulnerabilidades e Exposições Comuns). As equipes de segurança podem identificar e abordar proativamente possíveis ameaças em dependências de aplicações de software antes que invasores possam explorá-las.
Formatos e padrões SBOM
Vários formatos e padrões surgiram para criar e compartilhar SBOMs. Formatos padronizados facilitam o compartilhamento de dados da SBOM em toda a cadeia de suprimentos de software, promovendo transparência e colaboração entre diferentes partes interessadas. Os formatos mais conhecidos incluem:
Esses formatos oferecem diferentes níveis de detalhes para diferentes ecossistemas de software, permitindo que as organizações escolham o formato que melhor se adapta às suas necessidades.
O impacto da aplicação nativa em nuvem nas SBOMs
Aplicações nativas em nuvem aumentaram a complexidade dos ecossistemas de software. Como são distribuídas, muitas vezes dependem de imagens do container pré-construídas e podem ser compostas de centenas ou milhares de microsserviços — cada um com seus próprios componentes e dependências — a tarefa de garantir a segurança da cadeia de suprimentos de software é assustadora. Se não forem devidamente geridas, estas aplicações correm o risco de introduzir vulnerabilidades de segurança.
Com esse pano de fundo, fica claro o papel crítico que as SBOMs desempenham em garantir a segurança das aplicações nativas em nuvem. Ao fornecer um inventário abrangente de componentes de software que podem ser verificados sistematicamente quanto a possíveis vulnerabilidades, as SBOMs permitem que a organização gerencie e proteja com eficácia suas aplicações na nuvem.
Benefícios da implementação de SBOMs
A implementação de SBOMs oferece vários benefícios para a organização, incluindo:
- Postura de segurança melhorada: SBOMs permitem que as organizações identifiquem e abordem possíveis riscos de segurança de forma mais eficaz.
- Gerenciamento simplificado de vulnerabilidades: as organizações podem priorizar e remediar vulnerabilidades com mais eficiência.
- Maior colaboração entre equipes: ao fornecer um entendimento compartilhado dos componentes de uma aplicação e seus riscos associados, as SBOMs ajudam diferentes equipes em uma organização — como desenvolvimento, segurança e jurídica — a colaborar de forma mais eficaz.
- Auditorias de software e verificação de conformidade facilitadas: a organização pode demonstrar mais facilmente a conformidade com os requisitos legais e regulamentares. Também pode realizar auditorias internas de software para garantir a segurança e a qualidade de suas aplicações.
Desafios na adoção de SBOMs
Embora os benefícios das SBOMs sejam claros, as organizações podem enfrentar vários desafios ao incorporá-las ao seu ciclo de vida de desenvolvimento de software:
- Integração com ferramentas existentes e fluxos de trabalho: as organizações devem ser estratégicas e consistentes sobre a integração da geração e gerenciamento de SBOM em seu processo de desenvolvimento e segurança existente. Isso pode impactar negativamente a velocidade de desenvolvimento.
- Garantir precisão e informações atualizadas: manter SBOMs precisas e atualizadas — especialmente no caso de aplicações atualizadas ou alteradas com frequência — pode ser demorado e exigir muitos recursos.
- Abordar questões de privacidade e propriedade intelectual: compartilhar SBOMs com partes interessadas externas pode gerar preocupações dentro de uma organização quanto a divulgação de informações proprietárias ou confidenciais. As organizações precisam encontrar um equilíbrio entre segurança e transparência.
- Incentivar a adoção em toda a cadeia de suprimento de software: para que isso seja realmente eficaz, todas as partes na cadeia de suprimento de software devem adotar e compartilhar SBOMs. Avançar nessa direção requer colaboração, padronização e um compromisso com a transparência entre todas as partes interessadas.
Integrando SBOMs com ferramentas de gerenciamento de vulnerabilidades
Para melhorar ainda mais a postura de segurança de uma organização, as SBOMs podem ser integradas com ferramentas de gerenciamento de vulnerabilidades. Por exemplo, aplicações ou ferramentas de varredura de containers podem usar as informações fornecidas em uma varredura de SBOM para vulnerabilidades e ameaças conhecidas. Ferramentas de segurança automatizadas podem verificar rotineiramente inventários SBOM em um banco de dados CVE. Alertas podem ser gerados quando o uso de um componente por uma organização viola os termos da licença.
Ao incorporar os dados da SBOM no processo de gerenciamento de vulnerabilidades e auditoria de conformidade, a organização pode priorizar melhor seus esforços e lidar com os riscos de maneira mais direcionada e eficiente.
CrowdStrike Falcon® Cloud Security inclui o Cloud Workload Protection, que fornece visibilidade completa de workloads e containers. Com a varredura pré-construída de imagens de container, registros, bibliotecas, o CrowdStrike Falcon® Cloud Security traz detecção precoce de ameaças, alertas rápidos e insights acionáveis para remediação.
Perguntas frequentes sobre a SBOM
P: O que é uma SBOM na cibersegurança?
R: SBOM (Software Bill of Materials, lista de materiais de Software) é um inventário detalhado de todos os componentes, bibliotecas e dependências usados em uma aplicação de software, e proporciona visibilidade de possíveis vulnerabilidades de segurança e problemas de licenciamento.
P: Qual é a diferença entre BOM e SBOM?
R: A BOM (Bill of Materials, lista de materiais) é uma lista geral de componentes usados na fabricação ou no desenvolvimento de software, enquanto a SBOM se concentra especificamente em software, identificando bibliotecas, dependências e versões para gerenciar riscos de segurança.
P: O que é SBOM em DevOps?
R: Em DevOps, a SBOM ajuda as equipes a rastrear e gerenciar dependências de software, reforçando a segurança, a conformidade e o gerenciamento de vulnerabilidades em pipelines de CI/CD (continuous integration/continuous, integração contínua/implantação contínua).
P: O que é SBOM no SDLC?
R: No SDLC (Software Development Life Cycle, ciclo de vida de desenvolvimento de software), a SBOM proporciona transparência aos componentes de software, garantindo que avaliações de segurança, varreduras de vulnerabilidades e verificações de conformidade sejam realizadas em todas as etapas do desenvolvimento.
P: O que há em uma lista de materiais de software?
R: A SBOM normalmente inclui detalhes como nomes e versões de componentes de software, informações de licenciamento, vulnerabilidades conhecidas (CVEs) e relações de dependência, garantindo que as organizações possam rastrear e mitigar os riscos de segurança de forma eficaz.
Guilherme (Gui) Alvarenga é Gerente Sênior de Marketing de Produtos do portfólio de Segurança de Nuvem da CrowdStrike. Ele tem mais de 15 anos de experiência com soluções de nuvem, software como serviço (SaaS), rede e ML para empresas como Check Point, NEC e Cisco Systems. Guilherme formou-se em Publicidade e Propaganda pela Universidade Paulista, no Brasil, e fez seu MBA na Universidade Estadual de San Jose. Estudou Computação Aplicada na Universidade de Stanford e especializou-se em Segurança de Nuvem e Investigação de Ameaças.
