SBOM

Um inventário formal de tudo que compõe o artefato: dependências, versões, licenças e hashes.

SyftCycloneDXSPDX

O que é

(Software Bill of Materials) é o equivalente ao rótulo nutricional de um alimento: um documento estruturado listando todos os componentes que formam um artefato de software — dependências diretas e transitivas, versões exatas, licenças e hashes criptográficos.

Um SBOM de verdade

Os dois padrões dominantes são CycloneDX e SPDX. Um trecho real de um SBOM CycloneDX, reduzido a um componente:

bom.cdx.json (CycloneDX)json

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.5",
  "components": [
    {
      "type": "library",
      "name": "lodash",
      "version": "4.17.15",
      "purl": "pkg:npm/lodash@4.17.15",
      "hashes": [{ "alg": "SHA-256", "content": "3d0a2c..." }]
    }
  ]
}

Anatomia de uma entrada

O purl () é o identificador universal do componente — pkg:npm/lodash@4.17.15 diz o ecossistema, o nome e a versão exata, em um formato que qualquer sistema consulta. Os hashes provam que o componente é exatamente o que o SBOM diz que é, sem espaço para troca silenciosa.

Na prática, o SBOM é gerado no stage de package da pipeline — por ferramentas de ou geradores dedicados como o Syft — e publicado (idealmente assinado) junto com o artefato.

Por que importa: o teste do próximo Log4Shell

Quando estoura a próxima vulnerabilidade crítica em uma biblioteca popular, a pergunta é sempre a mesma: estamos afetados? Com SBOM, a resposta sai em minutos — uma busca pelo purl no inventário de todos os serviços. Sem ele, são dias vasculhando projeto a projeto, ou pior: descobrindo em produção.

Também virou exigência de mercado: órgãos do governo dos EUA passaram a exigir SBOM de fornecedores de software, e clientes enterprise seguem o mesmo caminho.

Relação com o SCA

SCA e SBOM se alimentam: a análise de composição produz o inventário, e o inventário é o que permite monitorar continuamente os componentes contra CVEs novos. Um SBOM gerado uma vez e esquecido envelhece rápido — o valor está no ciclo vivo: gerar a cada build, monitorar sempre.

SBOMA lista de ingredientes do software: dependências, versões, licenças e hashes, em formato padrão.ver no glossário →purlpackage urlIdentificador universal de um pacote: pkg:npm/lodash@4.17.15 diz ecossistema, nome e versão sem ambiguidade. É a coluna vertebral de um SBOM.ver no glossário →SCAAnálise de composição: inventaria dependências de terceiros e cruza com CVEs conhecidas.ver no glossário →

conexões no mapa

SCAgeraSBOM

atualizado em 14/10/2026 · fontes para aprofundar · reportar erro

em outros domínios

Risco de terceiros e da cadeia de suprimentosgrco inventário que torna a avaliação de fornecedor concreta
A03 Software Supply Chain Failuresowaspo inventário que responde "estamos afetados?"
Containers — imagens e cadeia de suprimentoscloudsecinventaria o que vai dentro da imagem

Estude antes

teste o que entendeu

Carregando perguntas…