Seminar ONEKEY OCP – SBOM Management

Eine SBOM ist nur dann belastbar, wenn Komponentenidentität, Version, Herkunft, Abhängigkeiten und Gültigkeitsbereich nachvollziehbar sind. Automatische Erkennung und Lieferantendaten liefern wichtige Ausgangspunkte, müssen jedoch kontrolliert validiert, konsolidiert und über Produktänderungen hinweg gepflegt werden.

Inhaltsübersicht

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxiswerkstatt
6. Kompetenzziele

Zielsetzung

Ziel ist die eigenständige Erstellung und Steuerung freigabefähiger SBOMs. Unterschiedliche Datenquellen werden zusammengeführt, Erkennungsevidenzen werden bewertet, Qualitätsmängel werden behoben und SBOM-, VEX- und Monitoring-Prozesse werden konsistent miteinander verbunden.

Zielgruppe

Product Security, Software- und Firmwareentwicklung, DevSecOps, Open-Source-Management, Compliance, Qualitätsmanagement, Beschaffung, PSIRT und technische Dokumentation

Voraussetzungen

Grundkenntnisse zu Softwarekomponenten, Versionen und Firmware; praktische Vorkenntnisse zu CycloneDX oder SPDX sind hilfreich, aber nicht erforderlich

Seminarinhalte

Modul 1: SBOM-Zweck, Umfang und Formate

Anwendungsfälle und Mindestinformationen werden vor der technischen Verarbeitung festgelegt.

1. Schritt 1: Interne Analyse, Kundenaustausch, regulatorischen Nachweis und Lieferantenprüfung unterscheiden.
2. Schritt 2: Produkt, Firmwarestand, Build und Gültigkeitsbereich einer SBOM definieren.
3. Schritt 3: CycloneDX- und SPDX-Daten in Bezug auf Identifikatoren, Beziehungen und Zusatzinformationen einordnen.

Modul 2: SBOM aus Firmware erzeugen

Die Binäranalyse identifiziert Komponenten auch dann, wenn keine Entwicklungsstückliste verfügbar ist.

1. Schritt 1: Firmware analysieren und erkannte Komponentenübersicht öffnen.
2. Schritt 2: Komponentenname, Version, Typ, Fundstelle und Erkennungsmethode prüfen.
3. Schritt 3: Unsichere oder unvollständige Erkennungen für die Validierung markieren.

Modul 3: Externe SBOM importieren

Lieferanten- oder Build-Daten werden kontrolliert dem richtigen Produktstand zugeordnet.

1. Schritt 1: Dateiformat und syntaktische Verarbeitbarkeit vor dem Import prüfen.
2. Schritt 2: SBOM dem passenden Produkt und Firmwarestand zuweisen.
3. Schritt 3: Importstatus, Warnungen und nicht zuordenbare Einträge auswerten.

Modul 4: Datenquellen konsolidieren

Automatisch erkannte und importierte Komponenten werden ohne unkontrollierte Dubletten zusammengeführt.

1. Schritt 1: Komponenten anhand von Name, Version, PURL, CPE, Hash und Evidenz vergleichen.
2. Schritt 2: Dubletten, Varianten und widersprüchliche Versionen klassifizieren.
3. Schritt 3: Führende Information und Begründung für Zusammenführung oder Trennung dokumentieren.

Modul 5: Komponenten und Abhängigkeiten validieren

Eine belastbare SBOM benötigt technische Evidenz und nachvollziehbare Beziehungen.

1. Schritt 1: Komponentendetail bis zu Dateien, Pfaden und Paketmerkmalen verfolgen.
2. Schritt 2: Direkte, transitive und eingebettete Abhängigkeiten prüfen.
3. Schritt 3: Komponenten ergänzen, korrigieren oder entfernen und jede Änderung begründen.

Modul 6: SBOM-Qualitätsregeln

Vollständigkeit und Genauigkeit werden mit messbaren Kriterien statt subjektiv bewertet.

1. Schritt 1: Pflichtfelder, Identifikatoren, Versionsgenauigkeit und zulässige Unbekannte festlegen.
2. Schritt 2: Qualitätskennzahlen für kritische und nicht kritische Komponenten definieren.
3. Schritt 3: Review- und Freigabestatus einschließlich Verantwortlichkeit dokumentieren.

Modul 7: Schwachstellen, VEX und VDR

SBOM-Komponenten bilden die Grundlage für kontinuierliche Schwachstellen- und Betroffenheitsinformationen.

1. Schritt 1: CVE-Zuordnungen für ausgewählte Komponenten prüfen.
2. Schritt 2: Impact Assessment und VEX-Status mit der konkreten Firmware verknüpfen.
3. Schritt 3: VEX- oder VDR-Informationen konsistent zum SBOM-Gültigkeitsbereich bereitstellen.

Modul 8: Export, Austausch und Lifecycle

SBOMs werden adressatengerecht exportiert und bei Produktänderungen kontrolliert aktualisiert.

1. Schritt 1: Geeignetes Format und Informationsniveau für Kunde, Lieferant oder internen Prozess wählen.
2. Schritt 2: Export erzeugen und Version, Umfang sowie sensible Informationen prüfen.
3. Schritt 3: Neuerzeugung, Differenzprüfung und Monitoring bei neuen Firmwareständen festlegen.

Praxiswerkstatt

1. Arbeitsschritt 1: Aus einer Firmwareanalyse eine erste SBOM erzeugen und unsichere Komponenten markieren.
2. Arbeitsschritt 2: Eine externe SBOM importieren und mit den automatisch erkannten Komponenten konsolidieren.
3. Arbeitsschritt 3: Komponenten, Versionen, Abhängigkeiten und Erkennungsevidenzen anhand einer Qualitätscheckliste validieren.
4. Arbeitsschritt 4: Eine freigabefähige SBOM einschließlich VEX-Bezug, Export und Lifecycle-Regel erstellen.

Kompetenzziele

• SBOM-Umfang und geeignete Austauschformate bestimmen
• Automatisch erkannte und importierte Komponenten kontrolliert konsolidieren
• Komponentenidentität, Version und Abhängigkeiten evidenzbasiert validieren
• Messbare SBOM-Qualitätsregeln und Freigaben etablieren
• SBOM, VEX, Export und Monitoring im Produktlebenszyklus verbinden