흩어진 자료를 관계로 묶기
구성 명세와 취약점 보고, 빌드 증명은 같은 소프트웨어를 설명하면서도 다른 형식으로 존재할 수 있다. GUAC는 이런 보안 메타데이터를 모아 구성 요소의 신원과 관계를 연결한다. 개별 문서를 저장하는 것에서 나아가 서로 어떤 대상에 관한 자료인지 묶어 조회하는 계층이다.
다양한 문서 형식 수집
CycloneDX와 SPDX 구성 명세, in-toto 증명과 SLSA 자료, OSV와 OpenVEX 같은 정보를 입력으로 다룬다. 연결한 그래프의 질의를 통해 감사와 정책 판단, 위험 관리 등에 필요한 자료를 얻을 수 있다. 다만 입력 자료가 지원 형식인지와 어떤 관계를 표현하는지 확인해야 한다.
식별과 데이터 품질의 한계
소프트웨어 식별 표준을 사용해 자료를 연결하지만 모든 입력에 필요한 식별자가 있는 것은 아니다. 이 경우 휴리스틱을 사용하므로 처리하지 못한 경계 사례나 잘못 연결되는 문제가 생길 수 있다. 따라서 그래프가 제공하는 관계를 활용할 때 입력 정보의 정확성과 연결 결과도 함께 검토해야 한다.
관련 문서
Archivista / Syft / CycloneDX / SPDX / Dependency-Track