Seminar Cyber Resilience Act – SBOM Engineering mit SPDX und CycloneDX

Der CRA verlangt eine SBOM in einem gebräuchlichen, maschinenlesbaren Format, die mindestens die direkten Abhängigkeiten abdeckt. Für belastbare Schwachstellenanalyse und Lieferkettensteuerung reicht diese Mindesttiefe häufig nicht aus. Das Seminar trennt deshalb gesetzliche Mindestabdeckung, produktspezifische Risikotiefe und angestrebte Engineering-Vollständigkeit sauber voneinander.

Im Seminar werden SBOMs mit mehreren Werkzeugen aus Quellcode und gebauten Artefakten erzeugt, normalisiert und verglichen. Anschließend werden Schwachstelleninformationen korreliert, Fehlzuordnungen untersucht und VEX-Entscheidungen mit technischer Begründung dokumentiert.

Seminarziel

Ziel ist eine automatisierte SBOM-Pipeline, die pro Release verlässliche Komponenten- und Beziehungsdaten liefert und diese für Vulnerability Management, PSIRT, Lieferantensteuerung und technische Dokumentation nutzbar macht.

Lernziele

• CRA-Mindestabdeckung, risikobasierte Tiefenanforderung und interne Qualitätsziele unterscheiden
• SPDX und CycloneDX anhand praktischer Anforderungen auswählen und einsetzen
• Komponenten aus Source, Paketmetadaten, Container und Build-Artefakt erfassen
• Identitäten mit PURL, CPE, Hashes, Versionen und Beziehungen belastbar beschreiben
• SBOMs validieren, differenzieren, signieren und einem Release zuordnen
• Vulnerability Matching, Reachability und VEX für priorisierte Behandlung nutzen
• SBOM-Daten sicher bereitstellen und über den Supportzeitraum pflegen

Inhalte

Formate und Datenqualität

• SPDX- und CycloneDX-Strukturen, Komponenten, Services, Beziehungen und Metadaten
• PURL, CPE, Namespace, Hash, Lizenz, Supplier und Build-Information
• Vollständigkeit je definierter Tiefe, Korrektheit, Aktualität, Eindeutigkeit und Reproduzierbarkeit
• Umgang mit proprietären Komponenten, Forks, Patches und unbekannten Versionen

Erzeugung und Pipeline

• Source-basierte und binärbasierte Erkennung sowie deren Grenzen
• Multi-Stage-Builds, Containerbilder, Betriebssystempakete und verschachtelte Archive
• Normalisierung, Merge, Deduplizierung, Validierung und Diff zwischen Releases
• Signierung, Speicherung, vertrauliche Bereitstellung und Zuordnung zu Release sowie Provenance

Nutzung im Vulnerability Management

• Korrelation mit Schwachstellendaten und Behandlung mehrdeutiger Matches
• Exploitierbarkeit, Reachability, Umgebungsfaktoren und Priorisierung
• VEX-Status, Begründung, Gültigkeit und Aktualisierung
• Schnittstellen zu PSIRT, Ticketing, Lieferanten und Kundenanfragen

Praktische Übungen

• SPDX- und CycloneDX-SBOM für Quellcode, Paket und Container erzeugen
• Mehrere SBOMs vergleichen, zusammenführen und gegen Qualitätsregeln prüfen
• Schwachstellen korrelieren und False Positives technisch untersuchen
• VEX-Entscheidung dokumentieren und eine Release-SBOM signiert bereitstellen
• CI/CD-Gate für SBOM-Vollständigkeit und verbotene Komponenten implementieren

Zielgruppe

Geeignet ist das Seminar für technische Teams, die SBOMs erzeugen, prüfen, konsumieren oder als Grundlage für Schwachstellen- und Lieferkettenprozesse einsetzen.