SBOM
Un inventario formal de todo lo que compone el artefacto: dependencias, versiones, licencias y hashes.
Qué es
Un (Software Bill of Materials) es el equivalente a la etiqueta nutricional de un alimento: un documento estructurado que lista todos los componentes que forman un artefacto de software: dependencias directas y transitivas, versiones exactas, licencias y hashes criptográficos.
Un SBOM de verdad
Los dos estándares dominantes son CycloneDX y SPDX. Un fragmento real de un SBOM CycloneDX, reducido a un componente:
{
"bomFormat": "CycloneDX",
"specVersion": "1.5",
"components": [
{
"type": "library",
"name": "lodash",
"version": "4.17.15",
"purl": "pkg:npm/lodash@4.17.15",
"hashes": [{ "alg": "SHA-256", "content": "3d0a2c..." }]
}
]
}Anatomía de una entrada
El purl () es el identificador universal del componente: pkg:npm/lodash@4.17.15 indica el ecosistema, el nombre y la versión exacta, en un formato que cualquier sistema puede consultar. Los hashes prueban que el componente es exactamente lo que el SBOM dice que es, sin espacio para un cambio silencioso.
En la práctica, el SBOM se genera en el stage de package del pipeline, con herramientas de o generadores dedicados como Syft, y se publica (idealmente firmado) junto con el artefacto.
Por qué importa: la prueba del próximo Log4Shell
Cuando estalla la próxima vulnerabilidad crítica en una biblioteca popular, la pregunta es siempre la misma: ¿estamos afectados? Con SBOM, la respuesta sale en minutos: una búsqueda del purl en el inventario de todos los servicios. Sin él, son días revisando proyecto por proyecto, o peor: enterándose en producción.
También se volvió una exigencia del mercado: organismos del gobierno de EE. UU. empezaron a exigir SBOM a los proveedores de software, y los clientes enterprise siguen el mismo camino.
Relación con el SCA
SCA y SBOM se alimentan mutuamente: el análisis de composición produce el inventario, y el inventario es lo que permite monitorear continuamente los componentes contra CVEs nuevos. Un SBOM generado una vez y olvidado envejece rápido: el valor está en el ciclo vivo: generar en cada build, monitorear siempre.
conexiones en el mapa
- SCAgeneraSBOM
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- Riesgo de terceros y de la cadena de suministrogrcel inventario que vuelve concreta la evaluación de proveedores
- A03 Software Supply Chain Failuresowaspel inventario que responde "¿estamos afectados?"
- Containers - imágenes y cadena de suministrocloudsecinventaría lo que va dentro de la imagen
Estudia antes
pon a prueba lo que entendiste
Cargando preguntas…