SBOM(Software Bill of Materials, 소프트웨어 자재 명세서)은 소프트웨어에 사용된 모든 컴포넌트와 의존성을 목록화한 문서다. 식품의 성분표처럼,소프트웨어 안에 무엇이 들어있는지 투명하게 공개하는 것이다. 2021년 미국 행정명령으로 연방 조달 소프트웨어에 SBOM 제공이 의무화되면서 주목받았다.
이번 연구는 SBOM 생성과 공급망 보안에 활용되는 오픈소스 도구들을 전수 조사했다. 얼마나 많은 도구가 있고, 무엇을 할 수 있으며, 어디에 한계가 있는가?
주요 도구 카테고리:SBOM 생성,취약점 매칭,의존성 추적,라이선스 준수가 주요 도구군을 형성했다.
격차 발견: 대부분의 도구가 빌드 타임 SBOM 생성에 집중됐고, 런타임 SBOM(실제 실행 중인 환경의 컴포넌트 추적)은 상대적으로 미성숙했다. 다양한 SBOM 포맷 간 상호운용성도 과제로 지적됐다.
오픈소스 생태계가 공급망 보안 도구화에서 빠르게 성숙하고 있지만, 아직 통합 관리 플랫폼 부재가 기업 도입의 걸림돌이다.
📖 *SBOM and supply chain tools landscape study* |
논문SBOM (Software Bill of Materials) catalogs all components and dependencies in software — like a food ingredient label, transparently disclosing what's inside software. It gained prominence after a 2021 US Executive Order mandating SBOM for federal procurement software.
This landscape study systematically surveyed open-source tools for SBOM generation and supply chain security — how many tools exist, what they can do, where they fall short.
Major tool categories: SBOM generation (Syft, CycloneDX, SPDX), vulnerability matching (Grype, OSV-Scanner), dependency tracking (Dependency-Track), and license compliance (FOSSA, TLDR Legal).
Gap finding: most tools focused on build-time SBOM generation; runtime SBOM (tracking components in actual running environments) was relatively immature. Interoperability between SBOM formats (SPDX vs CycloneDX) was also flagged as a challenge.
The open-source ecosystem is rapidly maturing for supply chain security tooling, but the absence of an integrated management platform remains an enterprise adoption barrier.
📖 *SBOM tools landscape (Survey)*
