text: 美军启动软件物料清单（SCOM）工作
  任何组织都需要更好地跟踪其软件中的内容。2022年10月，美国陆军采办办公室发布了有关软件物料清单（SCOM）技术方案的需求，这将推动美国陆军软件和抵御基于网络的攻击的方式发生重大变化。什么是 SBOM？简单理解，SBOM和构成应用程序或系统的组件列表类似。大多数软件都包含从其他渠道获取的部分，例如开源库或许可的第三方组件。SBOM明确概述了这些来源，允许购买者、运营商和防御者评估软件或整个系统的起源、漏洞和风险。但是，SBOM不仅仅是一个简单的列表。它们可以帮助组织发现关键信息，检查软件中的组件或了解其版本记录。这种信息及其周围的规则对于网络防御至关重要。通过阐明与从其他地方提取的代码块相关的风险，它们可以帮助减少计划外工作，自动监控组件的漏洞，并确保软件在发布之前符合安全标准。但是，为了持续发展，SBOM必须随着软件组件的添加和漏洞的发现而不断更新。从理论上讲，这可以手动完成，但在实践中，在最好是自动化。这意味着新的程序和项目必须从一开始就支持自动更新。在没有自动生成和管理功能的情况下构建的SBOM只是静态文档，在没有相应SBOM更改的情况下推送发布和新组件的风险，从而降低其有效性和适应性。SBOM应构建为以标准化、易于阅读的形式展示，例如，仪表板会发出有关漏洞的警报并建议修复。开发人员和操作员都应该接受下一步该怎么做的培训。采用SBOM存在障碍。机构甚至部门使用各种工具和软件会影响数据共享和交换过程。SBOM的成功将在很大程度上取决于流程的标准化程度，对于预算有限且系统较旧的团队来说，这是一项复杂的任务。采用适当的技术只是一个挑战，因为需要培训。直到今天，组织仍在学习如何生成SBOM、它们包含的内容以及如何有效地使用它们。此外，仍在制定要求，以支持更广泛地采用SBOM，这是国防工业对SBOM提案的主要反对意见所要求的。尽管如此，SBOMS的价值仍不容忽视。SBOM功能可以提示用户创建漏洞允许列表。此功能通过仅接受可信文件、应用程序和进程来减少安全攻击，从而限制解决关键问题的噪音。这可以帮助团队识别从未经验证的来源中提取代码时引入的未知漏洞，评估风险，缓解风险，并为购买或开发这些应用程序的人员提供额外的透明度。最近的政策变化提高了整个国防界安全的重要性，并促使领导人批判性地评估和加强其供应链安全。当有效实施并整合到功能和工作流程中时，SBOM对于支持整个行业向提高安全性和效率的转变至关重要。美国陆军发布的SBOM技术方案需求如下：1. 说明目的：征求行业对解决软件供应链问题的方法。本RFI 主要侧重于软件物料清单（SBOM）的获取、验证、摄取和使用以及密切相关的事项。美国陆军运行在由数十万个不同组件组成的软件，这些组件汇集在一起以实现相关任务。每项任务、重大系统采购和技术现代化工作都是软件密集型的。有效、以安全为中心的软件对于使未来的陆军能力能够主导未来的冲突至关重要。但是，未知组件可能会导致系统以意外的方式运行，并在组件存在漏洞时造成攻击风险。了解这些部件及其来源，使陆军能够进行风险评估并降低风险。陆军必须确保支撑其任务各个方面的软件是安全的，能够抵御对抗性干扰，并且必须能够及早发现问题并迅速做出反应。美国陆军采办、后勤和技术助理部长办公室（ASA（ALT），正在积极寻求商业公司的方案。陆军征求行业意见和想法，通过收集和审查SBOM和相关扫描和其他供应链风险管理（SCRM）信息来提高软件供应链的安全性，以确保陆军软件的安全，并且可以在整个软件生命周期中快速解决漏洞。2. 背景该RFI将有助于陆军解决行政命令（EO）14028