SBOM για απλούς χρήστες: Πώς να ελέγξετε τι περιέχει μια εφαρμογή πριν από την εγκατάσταση

Η εγκατάσταση μιας εφαρμογής σημαίνει ότι εμπιστεύεστε πολύ περισσότερα από την εταιρεία της οποίας το όνομα εμφανίζεται στη σελίδα λήψης. Το σύγχρονο λογισμικό περιλαμβάνει συνήθως δεκάδες ή ακόμη και εκατοντάδες εξωτερικές βιβλιοθήκες, πλαίσια ανάπτυξης, πακέτα συστήματος και άλλα έτοιμα στοιχεία. Μια αδυναμία σε οποιοδήποτε από αυτά μπορεί να επηρεάσει την τελική εφαρμογή, ακόμη και όταν ο βασικός προγραμματιστής της δεν δημιούργησε τον ευάλωτο κώδικα. Ο Κατάλογος Υλικών Λογισμικού, γνωστός ως SBOM, παρέχει μια δομημένη καταγραφή αυτών των στοιχείων. Μπορεί να βοηθήσει έναν απλό χρήστη να ελέγξει τι υπάρχει μέσα σε ένα πρόγραμμα, να εντοπίσει παρωχημένες εξαρτήσεις και να διερευνήσει γνωστές ευπάθειες πριν επιτρέψει στο λογισμικό να αποκτήσει πρόσβαση σε προσωπικά αρχεία, κωδικούς πρόσβασης ή επαγγελματικές πληροφορίες. Ένα SBOM δεν αποτελεί εγγύηση ασφάλειας, αλλά προσθέτει επαληθεύσιμα στοιχεία σε μια απόφαση που διαφορετικά θα βασιζόταν κυρίως στη φήμη, στις αξιολογήσεις και στα αποτελέσματα ενός προγράμματος προστασίας από κακόβουλο λογισμικό.

Τι αποκαλύπτει ένα SBOM για μια εφαρμογή

Ένα SBOM περιγράφεται συχνά ως κατάλογος συστατικών για λογισμικό. Αντί να αναφέρει αλεύρι, ζάχαρη ή συντηρητικά, καταγράφει βιβλιοθήκες, πακέτα, μονάδες και άλλα στοιχεία που περιλαμβάνονται σε μια εφαρμογή. Ένα χρήσιμο SBOM προσδιορίζει συνήθως το βασικό προϊόν, τα ονόματα και τις εκδόσεις των στοιχείων του, τους προμηθευτές τους, τις μεταξύ τους σχέσεις και την ημερομηνία δημιουργίας της καταγραφής. Μπορεί επίσης να περιλαμβάνει άδειες χρήσης, αποτυπώματα αρχείων, αναγνωριστικά πακέτων και πληροφορίες για το εργαλείο που χρησιμοποιήθηκε για τη δημιουργία του εγγράφου. Αυτά τα δεδομένα επιτρέπουν τη διάκριση μεταξύ δύο εκδόσεων που φαίνονται παρόμοιες στον χρήστη, αλλά περιέχουν διαφορετικά εσωτερικά στοιχεία.

Η έκδοση ενός στοιχείου είναι ένα από τα σημαντικότερα πεδία. Μια ευπάθεια σπάνια επηρεάζει όλες τις εκδόσεις μιας βιβλιοθήκης. Μπορεί να αφορά μόνο εκδόσεις πριν από μια συγκεκριμένη ενημέρωση, έναν συγκεκριμένο κλάδο του λογισμικού ή ένα συγκεκριμένο λειτουργικό σύστημα. Για παράδειγμα, μια αναφορά ότι μια εφαρμογή περιέχει OpenSSL δεν αρκεί για την αξιολόγηση του κινδύνου. Απαιτείται ο ακριβής αριθμός έκδοσης ώστε να διαπιστωθεί αν ο ενσωματωμένος κώδικας εμπίπτει στο εύρος εκδόσεων που αναφέρεται σε μια συμβουλευτική ανακοίνωση ασφαλείας. Όταν λείπουν οι πληροφορίες έκδοσης, ένα εργαλείο σάρωσης μπορεί να μην εντοπίσει ένα πραγματικό πρόβλημα ή να συνδέσει εσφαλμένα το στοιχείο με μια άσχετη ευπάθεια.

Ένα SBOM πρέπει επίσης να δείχνει τις σχέσεις εξάρτησης. Ορισμένα στοιχεία προστίθενται απευθείας από τον προγραμματιστή της εφαρμογής, ενώ άλλα ενσωματώνονται έμμεσα μέσω μιας άλλης βιβλιοθήκης. Αυτές οι έμμεσες εξαρτήσεις μπορεί να εκτείνονται σε πολλά επίπεδα και να παραμένουν αόρατες στη συνηθισμένη διεπαφή της εφαρμογής. Ένας προγραμματιστής μπορεί να προσθέσει σκόπιμα μια βιβλιοθήκη επεξεργασίας εγγράφων, η οποία με τη σειρά της βασίζεται σε ξεχωριστά πακέτα για εικόνες, συμπίεση και κωδικοποίηση χαρακτήρων. Αν ένα από αυτά τα χαμηλότερου επιπέδου πακέτα έχει κενό ασφαλείας, η τελική εφαρμογή μπορεί να επηρεάζεται. Ένας χάρτης εξαρτήσεων βοηθά να γίνει κατανοητό γιατί υπάρχει το συγκεκριμένο στοιχείο και ποιο τμήμα του λογισμικού βασίζεται σε αυτό.

Πώς να αναγνωρίσετε ένα χρήσιμο και σχετικό SBOM

Ο πρώτος έλεγχος είναι αν το SBOM περιγράφει ακριβώς το αρχείο που εξετάζετε πριν από την εγκατάσταση. Συγκρίνετε το όνομα του προϊόντος, τον αριθμό έκδοσης, το λειτουργικό σύστημα, την αρχιτεκτονική του επεξεργαστή και την ημερομηνία κυκλοφορίας με τις πληροφορίες που εμφανίζονται στη σελίδα λήψης. Ένας κατάλογος στοιχείων για την έκδοση Windows μπορεί να μην περιγράφει την έκδοση macOS, ενώ μια καταγραφή για την έκδοση 5.1 δεν μπορεί να εφαρμοστεί αυτόματα στην έκδοση 5.2. Ακόμη και μια μικρή ενημέρωση εφαρμογής μπορεί να αντικαταστήσει αρκετές βιβλιοθήκες ή να αφαιρέσει ένα ευάλωτο πακέτο. Επομένως, ένα ακριβές SBOM πρέπει να συνδέεται με μια συγκεκριμένη έκδοση και όχι να παρουσιάζεται ως μόνιμος κατάλογος στοιχείων για όλες τις εκδόσεις του προϊόντος.

Τα SPDX και CycloneDX είναι οι δύο μορφές που είναι πιθανότερο να συναντήσει ένας απλός χρήστης. Αποθηκεύουν πληροφορίες στοιχείων με συνεπή και μηχαναγνώσιμο τρόπο, ώστε τα εργαλεία ασφαλείας να μπορούν να τις επεξεργάζονται. Από τον Ιούλιο του 2026, το SPDX 3.0 είναι η τρέχουσα σταθερή προδιαγραφή, ενώ το SPDX 3.1 RC1 διατίθεται για δοκιμές και όχι για γενική παραγωγική χρήση. Το CycloneDX 1.7 είναι η τρέχουσα δημοσιευμένη έκδοση. Συνήθη ονόματα αρχείων είναι τα bom.json, bom.xml, product.cdx.json και product.spdx.json. Ο χρήστης δεν χρειάζεται να κατανοεί ολόκληρη τη δομή αυτών των αρχείων, καθώς ένα κατάλληλο εργαλείο σάρωσης μπορεί να μετατρέψει το περιεχόμενό τους σε μια ευανάγνωστη αναφορά ευπαθειών.

Η πληρότητα είναι εξίσου σημαντική με τη μορφή. Προειδοποιητικά σημάδια είναι τα στοιχεία χωρίς αριθμούς έκδοσης, οι επαναλαμβανόμενες τιμές «άγνωστο», οι ελλείποντες προμηθευτές και ένας κατάλογος που φαίνεται υπερβολικά μικρός για την εφαρμογή. Ένα σύγχρονο πρόγραμμα περιήγησης, ένα πρόγραμμα επεξεργασίας βίντεο ή μια εφαρμογή επικοινωνίας είναι απίθανο να περιέχει μόνο λίγα εξωτερικά πακέτα. Παράλληλα, ένας μεγάλος κατάλογος στοιχείων δεν αποτελεί απόδειξη ανεπαρκούς ασφάλειας. Οι μεγάλες εφαρμογές βασίζονται φυσιολογικά σε πολλά διαφορετικά έργα. Το ουσιαστικό ερώτημα είναι αν το SBOM αναγνωρίζει αυτά τα στοιχεία με αρκετή ακρίβεια ώστε ένα εργαλείο σάρωσης να τα αντιστοιχίσει με αξιόπιστες καταγραφές ευπαθειών.

Πώς να επαληθεύσετε και να σαρώσετε λογισμικό πριν από την εγκατάσταση

Ξεκινήστε αποκτώντας το πρόγραμμα εγκατάστασης και το SBOM του από μια πηγή που ελέγχεται από τον εκδότη του λογισμικού. Το έγγραφο μπορεί να βρίσκεται δίπλα στην εφαρμογή σε ένα αποθετήριο εκδόσεων, σε ένα κέντρο ασφαλείας ή στην ενότητα λήψεων. Αναζητήστε ονόματα αρχείων που περιέχουν τους όρους «SBOM», «SPDX», «CycloneDX» ή «BOM». Ορισμένοι προμηθευτές παρέχουν την καταγραφή μόνο σε πελάτες ή κατόπιν αιτήματος, ιδίως όταν περιλαμβάνει πληροφορίες για ιδιόκτητα στοιχεία. Μη βασίζεστε σε ένα SBOM που έχει αντιγραφεί σε άσχετο ιστότοπο λήψης. Ένας αυθεντικός κατάλογος στοιχείων είναι χρήσιμος μόνο όταν υπάρχει αξιόπιστη σύνδεση μεταξύ του εγγράφου, του προμηθευτή και της συγκεκριμένης έκδοσης της εφαρμογής.

Επαληθεύστε το πρόγραμμα εγκατάστασης πριν αναλύσετε τα στοιχεία του. Ένα κρυπτογραφικό αποτύπωμα λειτουργεί ως ψηφιακό δακτυλικό αποτύπωμα ενός αρχείου. Όταν ο εκδότης παρέχει μια τιμή SHA-256, υπολογίστε το αποτύπωμα του αρχείου που κατεβάσατε και συγκρίνετε κάθε χαρακτήρα με την επίσημη τιμή. Οι χρήστες Windows μπορούν να εκτελέσουν την εντολή Get-FileHash .\setup.exe -Algorithm SHA256 στο PowerShell. Στο macOS, η αντίστοιχη εντολή είναι shasum -a 256 filename.dmg, ενώ πολλά συστήματα Linux χρησιμοποιούν την εντολή sha256sum filename. Ένα ίδιο αποτέλεσμα επιβεβαιώνει ότι το αρχείο που κατεβάσατε είναι πανομοιότυπο με εκείνο για το οποίο ο εκδότης υπολόγισε το αποτύπωμα. Δεν αποδεικνύει ότι το αρχικό λογισμικό είναι ασφαλές, αλλά μπορεί να αποκαλύψει αλλοίωση ή μη εξουσιοδοτημένη τροποποίηση.

Η ψηφιακή υπογραφή προσφέρει ένα ακόμη επίπεδο επαλήθευσης. Στα Windows, κάντε δεξί κλικ στο πρόγραμμα εγκατάστασης, ανοίξτε τις Ιδιότητες και αναζητήστε την καρτέλα Ψηφιακές υπογραφές. Η υπογραφή πρέπει να είναι έγκυρη και ο υπογράφων να αντιστοιχεί στον εκδότη της εφαρμογής ή σε μια σαφώς συνδεδεμένη εταιρεία. Το Sigcheck της Microsoft μπορεί να εμφανίσει την έκδοση του αρχείου, τη χρονική σήμανση, την αλυσίδα πιστοποιητικών, τα αποτυπώματα και τις πληροφορίες υπογραφής χωρίς να εκτελέσει το πρόγραμμα εγκατάστασης. Στο macOS, οι έλεγχοι υπογραφής και συμβολαιογραφικής επαλήθευσης μπορούν να βοηθήσουν να διαπιστωθεί αν μια εφαρμογή έχει υποβληθεί στη διαδικασία ασφαλείας της Apple. Ένα ανυπόγραφο αρχείο δεν είναι αυτομάτως κακόβουλο, ιδιαίτερα όταν προέρχεται από ένα μικρό έργο ανοικτού κώδικα, αλλά η απουσία υπογραφής αφήνει τον χρήστη με λιγότερα στοιχεία για την προέλευσή του.

Μια πρακτική διαδικασία με δωρεάν εργαλεία σάρωσης

Αν υπάρχει έγκυρο SBOM, το Grype προσφέρει έναν άμεσο τρόπο σύγκρισης των στοιχείων του με γνωστά δεδομένα ευπαθειών. Αφού εγκαταστήσετε το Grype από την επίσημη πηγή εκδόσεών του, μια εντολή όπως grype sbom:./application-sbom.json σαρώνει το έγγραφο χωρίς να εκκινήσει την εφαρμογή. Η αναφορά προσδιορίζει το επηρεαζόμενο στοιχείο, την εγκατεστημένη έκδοση, την αναφορά της ευπάθειας, τη σοβαρότητά της και την έκδοση που περιέχει διόρθωση, όταν υπάρχουν διαθέσιμες σχετικές πληροφορίες. Το Grype υποστηρίζει κοινές μορφές SBOM και μπορεί να χρησιμοποιεί πρόσθετες πληροφορίες κινδύνου, όπως δεδομένα από τον κατάλογο Known Exploited Vulnerabilities της CISA και τιμές του Exploit Prediction Scoring System, ώστε να βοηθά στην ιεράρχηση των ευρημάτων.

Το OSV-Scanner είναι μια ακόμη κατάλληλη επιλογή, ιδίως όταν το πακέτο που κατεβάσατε περιλαμβάνει αναγνωρισμένα αρχεία SBOM, καταγραφές εξαρτήσεων ή αρχεία κλειδώματος πηγαίου κώδικα. Η τρέχουσα τεκμηρίωση της έκδοσης V2 περιγράφει μια διαδικασία δύο σταδίων: το εργαλείο εξάγει τις πληροφορίες των πακέτων και στη συνέχεια αντιστοιχίζει αυτά τα πακέτα με γνωστές καταγραφές ευπαθειών. Τα αποτελέσματα μπορεί να περιλαμβάνουν το όνομα του πακέτου, την έκδοση, το αναγνωριστικό της συμβουλευτικής ανακοίνωσης, τη βαθμολογία σοβαρότητας και τη διορθωμένη έκδοση. Τα τυπικά ονόματα αρχείων έχουν σημασία κατά τη σάρωση εγγράφων SBOM. Ένα αρχείο SPDX πρέπει συνήθως να διατηρεί όνομα που τελειώνει σε .spdx.json, ενώ ένα αρχείο CycloneDX πρέπει να χρησιμοποιεί αναγνωρισμένο μοτίβο ονομασίας CycloneDX. Η μετονομασία κάθε εγγράφου σε ένα γενικό όνομα μπορεί να εμποδίσει τη σωστή αναγνώρισή του.

Όταν ο εκδότης δεν παρέχει SBOM, το Syft μπορεί να δημιουργήσει έναν εκτιμώμενο κατάλογο από έναν αποσυμπιεσμένο φάκελο, αρχείο, σύστημα αρχείων ή υποστηριζόμενη εικόνα κοντέινερ. Για παράδειγμα, η εντολή syft dir:./unpacked-app -o cyclonedx-json=app-sbom.cdx.json αναλύει έναν αποσυμπιεσμένο φάκελο και αποθηκεύει το αποτέλεσμα ως έγγραφο CycloneDX. Στη συνέχεια, το αρχείο μπορεί να ελεγχθεί με το Grype. Μην εκτελείτε ένα μη αξιόπιστο πρόγραμμα εγκατάστασης μόνο και μόνο για να αποκτήσετε πρόσβαση στα αρχεία του. Τα αρχεία ZIP και ορισμένα πακέτα εγκατάστασης μπορούν να αποσυμπιεστούν χωρίς εκτέλεση κώδικα, αλλά άλλες μορφές απαιτούν εξειδικευμένο χειρισμό. Ένα SBOM που δημιουργήθηκε με αυτόν τον τρόπο μπορεί επίσης να μην εντοπίσει στατικά μεταγλωττισμένα, κρυπτογραφημένα ή ασυνήθιστα συσκευασμένα στοιχεία. Επομένως, δεν πρέπει να θεωρείται πιο αξιόπιστο από μια πλήρη καταγραφή που δημιουργήθηκε κατά τη διαδικασία κατασκευής του λογισμικού από τον ίδιο τον εκδότη.

Πώς να αξιολογήσετε τις ευπάθειες που εντοπίζονται σε ένα SBOM

Μια αναφορά σάρωσης μπορεί να περιέχει αναγνωριστικά CVE, GHSA ή αναγνωριστικά συμβουλευτικών ανακοινώσεων ειδικά για ένα οικοσύστημα. Ένας αριθμός CVE αποτελεί κοινή αναφορά για μια δημόσια γνωστοποιημένη ευπάθεια και όχι απόδειξη ότι η εφαρμογή δέχεται επίθεση εκείνη τη στιγμή. Ανοίξτε τη σχετική συμβουλευτική ανακοίνωση και επιβεβαιώστε το επηρεαζόμενο στοιχείο, το εύρος εκδόσεων και τις συνθήκες υπό τις οποίες εμφανίζεται το πρόβλημα. Παρόμοια ονόματα πακέτων μπορεί να ανήκουν σε διαφορετικά έργα και ένα εργαλείο σάρωσης μπορεί περιστασιακά να δημιουργήσει λανθασμένη αντιστοίχιση όταν το SBOM περιέχει ελλιπή αναγνωριστικά. Το εύρημα γίνεται πιο αξιόπιστο όταν το όνομα του πακέτου, ο προμηθευτής, το οικοσύστημα και η έκδοση συμφωνούν με το στοιχείο που αναφέρεται στη συμβουλευτική ανακοίνωση.

Η σοβαρότητα εκφράζεται συνήθως μέσω βαθμολογίας CVSS ή με χαρακτηρισμούς όπως χαμηλή, μέτρια, υψηλή ή κρίσιμη. Αυτή η βαθμολογία εκτιμά την τεχνική σοβαρότητα μιας ευπάθειας υπό καθορισμένες συνθήκες, αλλά δεν περιγράφει πλήρως τον κίνδυνο για έναν συγκεκριμένο χρήστη. Ένα κρίσιμο κενό ασφαλείας που απαιτεί μια απενεργοποιημένη λειτουργία μπορεί να είναι λιγότερο επείγον από μια ευπάθεια υψηλής σοβαρότητας που εκτίθεται κάθε φορά που η εφαρμογή ανοίγει ένα αρχείο από το διαδίκτυο. Ελέγξτε αν η εκμετάλλευση απαιτεί τοπική πρόσβαση, αλληλεπίδραση του χρήστη, ειδικά δικαιώματα ή σύνδεση δικτύου. Εξετάστε επίσης σε ποια δεδομένα θα επιτρέπεται να έχει πρόσβαση η εφαρμογή. Μια αδυναμία σε λογισμικό που διαχειρίζεται κωδικούς πρόσβασης, εμπιστευτικά έγγραφα ή απομακρυσμένες συνδέσεις έχει μεγαλύτερες πρακτικές συνέπειες από την ίδια αδυναμία σε ένα απομονωμένο εργαλείο εκτός σύνδεσης.

Δώστε ιδιαίτερη προσοχή στις ευπάθειες που περιλαμβάνονται στον κατάλογο Known Exploited Vulnerabilities της CISA. Η καταχώριση σημαίνει ότι υπάρχουν στοιχεία πως επιτιθέμενοι έχουν εκμεταλλευτεί την αδυναμία σε πραγματικές συνθήκες. Το Exploit Prediction Scoring System, ή EPSS, παρέχει μια εκτίμηση πιθανότητας σχετικά με το πόσο πιθανή είναι η εκμετάλλευση μέσα σε σύντομο χρονικό διάστημα. Κανένας από αυτούς τους δείκτες δεν αντικαθιστά την προσεκτική αξιολόγηση, αλλά και οι δύο μπορούν να βοηθήσουν στον διαχωρισμό των επειγόντων ευρημάτων από παλαιότερες ευπάθειες με περιορισμένη πρακτική έκθεση. Ένα στοιχείο με κρίσιμη βαθμολογία, ενεργή εκμετάλλευση και χωρίς διαθέσιμη διόρθωση απαιτεί πολύ μεγαλύτερη προσοχή από ένα πρόβλημα χαμηλής σοβαρότητας που προϋποθέτει φυσική πρόσβαση σε ήδη ξεκλείδωτο υπολογιστή.

Πότε να εγκαταστήσετε, να αναβάλετε ή να απορρίψετε μια εφαρμογή

Η εγκατάσταση είναι ευκολότερο να δικαιολογηθεί όταν το αρχείο προέρχεται από τον εκδότη, το αποτύπωμά του ταιριάζει με το επίσημο, η ψηφιακή υπογραφή είναι έγκυρη και το SBOM αντιστοιχεί στην ακριβή έκδοση. Η σάρωση δεν πρέπει να εμφανίζει ανεπίλυτες ευπάθειες υψηλού κινδύνου που μπορούν να ενεργοποιηθούν κατά τη συνήθη χρήση της εφαρμογής. Ορισμένα ευρήματα μπορεί να είναι αποδεκτά όταν ο εκδότης παρέχει σαφή δήλωση Vulnerability Exploitability eXchange, ή VEX, εξηγώντας γιατί το προϊόν δεν επηρεάζεται. Για παράδειγμα, η ευάλωτη βιβλιοθήκη μπορεί να υπάρχει, αλλά η σχετική λειτουργία να έχει απενεργοποιηθεί ή αφαιρεθεί κατά τη μεταγλώττιση. Μια χρήσιμη δήλωση VEX προσδιορίζει την έκδοση του προϊόντος, την ευπάθεια και τον τεχνικό λόγο, αντί να προσφέρει μια γενική διαβεβαίωση ότι η εφαρμογή είναι ασφαλής.

Αναβάλετε την εγκατάσταση όταν το SBOM είναι ελλιπές, ανήκει σε διαφορετική έκδοση ή αναφέρει σοβαρή ευπάθεια για την οποία υπάρχει ήδη διορθωμένο στοιχείο. Ελέγξτε αν έχει κυκλοφορήσει νεότερη έκδοση της εφαρμογής και διαβάστε τις σημειώσεις ασφαλείας του εκδότη. Όταν δεν υπάρχει διαθέσιμη εξήγηση, επικοινωνήστε με τον προμηθευτή αναφέροντας την έκδοση του προϊόντος, το όνομα του στοιχείου και το αναγνωριστικό της ευπάθειας. Μια αξιόπιστη απάντηση πρέπει να αφορά το συγκεκριμένο πακέτο και τη διαδρομή του επηρεαζόμενου κώδικα. Για λογισμικό εργασίας, στείλτε τις πληροφορίες στο άτομο που είναι υπεύθυνο για την πληροφορική ή την ασφάλεια. Ένας μεμονωμένος χρήστης δεν πρέπει να αποδέχεται έναν κίνδυνο που αφορά ολόκληρη την επιχείρηση μόνο και μόνο επειδή η διαδικασία εγκατάστασης φαίνεται συνηθισμένη.

Απορρίψτε το αρχείο όταν το αποτύπωμά του διαφέρει από την επίσημη τιμή, η υπογραφή του είναι άκυρη, ο δηλωμένος εκδότης δεν μπορεί να επιβεβαιωθεί ή η λήψη προέρχεται από μη αξιόπιστη πηγή. Η ίδια απόφαση είναι λογική όταν μια ευπάθεια που μπορεί να αξιοποιηθεί εξ αποστάσεως χρησιμοποιείται ενεργά σε επιθέσεις και δεν υπάρχει διορθωμένη έκδοση ή αποτελεσματικό μέτρο περιορισμού. Η απουσία SBOM δεν αποδεικνύει ότι ένα πρόγραμμα είναι επικίνδυνο, αλλά μειώνει τη διαφάνεια και δυσκολεύει τον ανεξάρτητο έλεγχο. Σε αυτή την περίπτωση, δώστε μεγαλύτερη βαρύτητα στο ιστορικό ενημερώσεων του προμηθευτή, στα στοιχεία επικοινωνίας για θέματα ασφαλείας, στις δημόσιες συμβουλευτικές ανακοινώσεις και στην ευαισθησία των πληροφοριών που θα διαχειρίζεται η εφαρμογή. Ένα SBOM είναι πιο αποτελεσματικό όταν συνδυάζεται με επαλήθευση της πηγής, περιορισμένα δικαιώματα, ενημερωμένα αντίγραφα ασφαλείας, προστασία από κακόβουλο λογισμικό και άμεση εγκατάσταση ενημερώσεων ασφαλείας.