SBOM dans la CI/CD : inventorier le logiciel réellement livré

Partir des entrées du build

Une SBOM décrit les composants logiciels et leurs relations. CycloneDX est un format lisible par machine couramment utilisé. Le travail consiste à faire correspondre l’inventaire à une version, plutôt qu’à l’état du poste d’un développeur.

Réunissez les fichiers de verrouillage, manifestes, images de conteneurs, composants firmware et inventaires fournisseurs pertinents. Notez ce que le générateur sait analyser. Un fichier de dépendances peut omettre des bibliothèques natives embarquées ou un firmware propriétaire.

Concevoir un processus reproductible

• Construire à partir d’un commit identifié et de dépendances maîtrisées.
• Exécuter un générateur adapté aux paquets ou images concernés.
• Valider le format et vérifier la présence des composants attendus.
• Relier l’inventaire à la version produit, au commit et au build.
• Archiver l’inventaire, la version de l’outil et la commande avec la livraison.
• Relancer sur un environnement propre et comparer le résultat.

Rendre les limites visibles

Un inventaire vide ou anormalement court doit déclencher une vérification. Définissez des attentes de couverture : les paquets système du conteneur et les dépendances applicatives sont-ils tous présents ?

Tenez une liste d’exclusions. Si un composant fournisseur n’est pas analysable, identifiez son responsable et les preuves demandées. L’absence de résultat du scanner ne prouve pas qu’un composant inconnu est sûr.

Relier l’inventaire au traitement des vulnérabilités

La SBOM alimente la qualification. Il reste à vérifier si le composant est livré, si la fonction affectée est accessible et quelle mesure appliquer. Conservez le raisonnement dans le ticket.

Séparez les critères de réception de la génération, de la surveillance et de la remédiation. Un scanner qui fonctionne ne suffit pas à démontrer qu’un processus de sécurité fonctionne.

Les premiers livrables de l’évaluation

Pour le build convenu, Dotgrey Continent génère une première SBOM avec une commande réutilisable. L’intégration CI étendue, les variantes, les fournisseurs et la surveillance continue sont chiffrés dans le périmètre de mise en œuvre.

Préparez le dépôt, les instructions de build et le conditionnement de la livraison. Si le build ne s’exécute pas dans l’environnement disponible, clarifiez ce blocage au démarrage.