XiaoMi-AI文件搜索系统
World File Search SystemSBOM
了解供应的软件材料法案 -
随着许多大规模的供应链攻击和在开源第三方包装中发现的大规模供应链攻击和漏洞之后，关于软件材料账单（SBOM）的讨论增加了。但是，在整个软件社区可以完全收获SBOM提供的好处之前，还有很多事情要做。本论文的目的是研究开源软件（OSS）社区在采用SBOMS以及现有SBOMS如何发展，重点关注软件包数据交换（SPDX）格式的程度。为了这项调查，进行了一项档案研究，在GitHub上的OSS项目中寻找SBOM并分析其内容和进化。这是对OSS项目中SBOM的第一个大规模搜索之一，目的是研究SBOM的实践。只有一小部分被检查的存储库包含一个SBOM，其中大多数是在GO项目中发现的。SBOM可以在存储库的源代码中找到，但是大多数是在发行版中的资产中找到的。总体而言，使用最新的SPDX格式经常更新SBOM，并且大多数与内容的质量保持一致。
可信平台模块 (TPM) 用例
电信和信息管理局 (NTIA) 旨在对 OS 用户环境中的软件和相关依赖项的测量进行分类。[21]、[22] SBOM 不需要使用 TPM。根据设备健康证明 (DHA) 或完整性测量架构 (IMA) 等运行时测量服务的配置，SBOM 校验和哈希不能保证与软件的 TPM PCR 测量直接相关。但是，执行软件完整性测量的 SBOM 扫描代理（与 TPM 无关）可以使用校验和哈希。扫描器代理可以定期测量并记录到 TPM PCR，从而建立可信的完整性链。用作已知良好参考的 SBOM 应由负责给定软件的来源签名。
信任软件供应链：启用区块链的SBOM ...公正游戏：加强学习的挑战
虽然在各种棋盘游戏中，alphazero风格的增强学习（RL）算法出色，但在本文中，我们表明它们在玩家共享作品的公正游戏中面临挑战。我们提出了一个游戏的具体例子 - 即儿童游戏的NIM游戏以及其他公正的游戏，这些游戏似乎是Alphazero风格和类似的自我播放增强学习算法的绊脚石。我们的工作建立在数据分布对神经网络学习奇偶校验功能的能力上的复杂性所带来的挑战，这对嘈杂的标签问题加剧了。我们的发现与最近的研究一致，表明α风格的算法容易受到广泛的攻击和对抗性扰动的影响，这表明学习在所有法律国家中掌握游戏掌握游戏的困难。我们表明，NIM可以在小型董事会上学习，但是当板尺寸增加时，Alphazero-Style算法的学习进度会大大减慢。在直觉上，可以通过以下事实来解释，例如NIM和党派游戏等公正游戏之间的差异，如果董事会在公正游戏中涵盖了董事会的一小部分，通常不可能预测该位置是否会赢得还是丢失，因为通常在部分空白的位置和正确评估的部分之间存在零相关性。这种情况与党派游戏形成了鲜明的对比，其中部分空白的董事会位置通常提供有关完全未透明的位置的价值的丰富或至少非trife信息。
使用软件材料清单评估软件供应链的安全风险
摘要 - 软件供应链由越来越多的组件组成，包括二进制文件，库，工具和微服务，以满足现代软件的要求。由软件供应商组装的产品通常由开源和商业组件组成。软件供应链攻击是网络安全威胁的最大增长类别之一，供应商产品的大量依赖性使单一脆弱性传播到许多供应商产品中成为可能。此外，软件供应链还提供了较大的攻击表面，可允许上游传播依赖性的漏洞影响核心软件。软件材料清单（SBOM）是一种新兴技术，可以与分析工具一起使用，以检测和减轻软件供应链中的安全漏洞。在这项研究中，我们使用开源工具Trivy和Grype来评估从各个域和大小的第三方软件存储库中开采的1,151个SBOM的安全性。我们探讨了SBOM跨SBOM的软件漏洞的分布，并寻找最脆弱的软件组件。我们得出的结论是，这项研究通过软件供应链漏洞表明了安全性的威胁，以及使用SBOMS来帮助评估软件供应链中的安全性的可行性。索引条款 - 软件供应链安全，材料清单，采矿软件存储库，第三方代码
云本地应用程序保护平台（CNAPP）
合规性管理是一项总体且潜在的昂贵努力，会影响DevOps，Security及其他地区。遵守始终很重要，但是在违规之后，合规性变得比以往任何时候都更加关键，因为证明遵守合规性授权将成为法律问题。例如，PCI DSS 4.0要求每个组织都能报告和发布其软件材料清单（SBOM）。如果违规发生在组织的云环境中，而折扣后发现则发现组织无法准确地报告其SBOM，则该组织可能会受到严重的罚款和罚款。
2024开源安全和风险分析报告
•创建和维护软件材料清单（SBOM）。在与软件供应链攻击的斗争中，具有准确，最新的SBOM，即库存开源组件对于评估曝光至关重要，并确保您的代码保持高质量，合规和安全。全面的SBOM列出了您应用程序中的所有开源组件以及这些组件的许可，版本和补丁状态，这是针对供应链攻击的强烈防御，包括使用恶意软件包的供应链攻击。•保持知情。确保您有能力被告知新确定的恶意软件包，恶意软件和披露的开源漏洞。寻找新闻源或定期发布的建议，以提供可行的建议和有关影响SBOM开源组件的问题的可行建议和详细信息。•执行代码评论。在将其包含在项目中之前，请检查下载软件的代码。检查是否有任何已知漏洞。有关其他洞察力，请考虑包括对源代码的静态分析，以检查未知的安全弱点。•积极主动。仅仅因为今天的组件并不脆弱，并不意味着它不会是明天。故意恶意包裹甚至永远不会被发现为“脆弱”。在实施之前请注意组件健康和出处，以避免将来的安全问题。•使用自动软件组成分析（SCA）工具。SCA工具可以自动化软件安全问题的识别，管理和缓解过程，并允许开发人员将精力集中在编写代码上。这样的工具可以评估开源和第三方代码。
保护您的控件基础设施供应链
自2013年首次记录以来，供应链攻击一直在不断增加。有利可图，相对简单地为潜在的攻击者建立，他们承诺是其运营核心的组织。在过去的四年中，备受瞩目的供应链攻击的数量已超过三倍，除非广泛采用对策，否则趋势将继续下去。在开放科学的背景下，对科学软件开发对开源代码的压倒性依赖以及大规模部署中使用的多种软件技术使资产所有者越来越难以评估威胁其活动的脆弱性。最近提出了美国政府（白宫行政命令EO14028）和欧盟委员会（E.U.网络弹性法案）要求政府合同的服务和设备供应商以标准和开放的数据格式提供其公司商业产品的软件材料清单（SBOM）。然后，可以使用此类SBOM文档来自动化剖面，并评估已知或未来漏洞的影响以及如何最佳减轻它们。本文将解释CERN如何在其加速器控制基础架构的背景下调查SBOM管理的扩展，该基础架构今天可以在市场上提供解决方案，以及如何使用它们来逐步执行开发人员社区的安全依赖性生命周期策略。
使用 LYNX MOSA.ic™ SCA 增强您的软件安全性和合规性
在当今受到严格监管的行业（例如航空航天和国防）中，长期安全性和合规性对于成功至关重要。LYNX MOSA.ic.SCA 通过强大的 Vigiles™ 套件简化了软件物料清单 (SBOM) 管理，确保了透明度、安全性以及与主要政府法规和行业标准的一致性。这对于受到严格监管的行业（例如航空航天和国防）尤其有价值，因为长期安全性和持续的监管合规性对于这些行业至关重要。
IOT的文档编号技术构建文件（TCF）...
Annexure ‘A' Software Bill of Material (Ref: https://cyclonedx.org/guides/sbom/introduction/#software-bill-of- materials-sbom ) & https://www.ntia.gov/files/ntia/publications/sbom_minimum_elements_report.pdf ) Author Name —usually the organization that develops the software and country起源。供应商名称 - 软件供应商的名称，包括别名（替代名称）。供应商和作者可能会有所不同。组件名称 - 软件组件的名称和可能的别名。版本字符串 - 版本信息的格式是自由形式的，但应遵循共同行业的使用。组件哈希 - 识别软件组件的最佳方法是使用用作唯一标识符的加密哈希。唯一的标识符 - 在哈希亚方面，每个组件必须具有一个在SBOM中识别它的ID号。关系 - 定义组件与软件包之间的关系。在大多数情况下，该关系被“包括”，这意味着某个包装包含在某个软件包中。时间戳记 - SBOM数据组装硬件材料的日期和时间的记录（参考：https：//cyclonedx.github.io/cyclonedx-property- sailomeny/cdx/设备）制造商姓名 - 硬件制造商和供应商和他们的原始组成部分的名称。设备：数量 - 指定组件的总数。设备：功能 - 组件的目的（蓝牙，网络，存储，微处理器，连接器等）。设备：位置 - 设备存在的位置或相关的子板上的位置。Device:deviceType - The type of component such as SMD, thru-hole, etc Device:serialNumber - Unique identifier using serial number if available Device:sku - Internal inventory reference if available Device:lotNumber - Lot or batch identification for the component Device:prodTimestamp - Production timestamp for the component Device:macAddress- Hardware address for network interfaces Note: In addition to these minimum requirements, an BOM can include其他信息，例如已知漏洞的安全分数，常见漏洞和暴露代码（CVE）。
确保您的数字供应链生态系统-KPMG LLP
我们利用Lineaje（我们的联盟合作伙伴）技术平台来生成和维护所选软件产品和组件的出处和SBOM。lineaje平台有助于验证和证明软件代码和组件的完整性和真实性，包括在第n个级别的直接和传递依赖性，并为每个组件生成保证级别得分。此外，它有助于扫描和生成警报，以近乎实时地对软件组件的任何新的和/或现有的已确定的漏洞，并在披露新漏洞时可以改善补救时间。