배포 파일과 구성 요소 구분
최종 사용자에게 전달할 파일과 빌드에 사용한 의존성 정보는 같지 않을 수 있다. SBOM Tool은 배포 경로의 파일을 해시로 기록하고 별도의 구성 요소 경로에서 프로젝트 정의를 찾아 의존성을 조사한다. 두 자료를 함께 사용해 배포 패키지를 설명하는 명세를 만든다.
식별과 메타데이터
패키지의 이름과 버전, 공급자 같은 정보를 지정해 어떤 산출물을 설명하는 문서인지 나타낸다. 구성 요소 탐지에는 Component Detection 라이브러리를 사용하고 라이선스 정보에는 ClearlyDefined API를 활용한다. SBOM 문서는 고유한 네임스페이스를 통해 서로 구분할 수 있다.
생성과 검증의 흐름
명령행 프로그램과 .NET 도구, API 등의 형태로 사용할 수 있다. SPDX 문서를 생성한 뒤 지정한 배포 경로와 문서를 대상으로 검증 결과를 출력하는 흐름도 제공한다. 구성 명세를 만들고 검사하는 작업은 취약점 분석과 구분되며 정확한 입력 경로와 배포 파일을 기준으로 수행해야 한다.
관련 문서
SPDX / Syft / Dependency-Track / Grype / GoReleaser