SBOM清單也可能遭竄改，歐盟ENISA發布技術指南，提出生命週期安全防護建議

為提升軟體供應鏈透明度，歐盟網路韌性法（CRA）要求產品製造商履行相關資安義務，包括提供軟體物料清單（SBOM）等要求，然而，SBOM不只要盤點軟體元件，還須確保清單正確、持續更新，並防範竄改。歐盟網路安全局（ENISA）於10月22日正式發布SBOM技術指南，提出六階段生命週期管理流程，涵蓋產生、驗證、簽署、儲存、使用及維護，並建議整合至持續整合與持續交付（CI/CD）流程，同時整理可用的開源工具與安全防護建議。

這份指南的形成可追溯至去年12月，當時ENISA針對SBOM分析草案公開徵詢意見，後續再綜合今年6月的產業調查結果、67份各界回饋及歐盟CRA專家小組的意見，將草案發展為《ENISA Technical Advisory for Software Bill of Materials》技術指南，協助企業及開源軟體維護者導入SBOM，尤其考量微型與中小型企業的實務需求，提出具體實作建議。

以SBOM的持續維護為例，ENISA引用今年6月公布的調查結果指出，41%的受訪組織希望在每次軟體建置或發布時完全自動產生SBOM，但只有26%預期能在產品支援期間完全自動更新。這也顯示，SBOM管理不能只停留在軟體建置階段，還須建立持續更新、驗證與版本追蹤機制，避免清單與實際軟體版本脫節。

值得注意的是，ENISA為協助企業實際導入，也依SBOM的產生、驗證、簽署、儲存及使用等環節整理可用的開源工具，並依CycloneDX、SPDX兩種格式分類。例如，產生SBOM可使用Syft、cdxgen及Microsoft sbom-tool；資料驗證與品質評估可使用CycloneDX CLI、sbomqs；數位簽章與證明則列出Cosign、Sigstore及GitHub CLI；在漏洞管理方面，包含Grype、Trivy、OWASP Dependency-Track及OSV-Scanner。不過，ENISA強調，這份工具清單僅供參考，並未涵蓋所有可用工具。

除了SBOM的產生與維護，這份指南也特別提醒企業注意SBOM及相關管理流程的安全風險。ENISA採用STRIDE威脅模型，將相關威脅歸納為身分偽冒（Spoofing）、資料竄改（Tampering）、否認（Repudiation）、資訊洩漏（Information Disclosure）、阻斷服務（Denial of Service）及權限提升（Elevation of Privilege）六大類。這項分析不僅針對SBOM檔案本身，也涵蓋產生工具、驗證與簽署服務、儲存庫，以及後續使用流程。

例如，攻擊者可能冒用合法軟體供應商或SBOM製作者身分，散布遭竄改的SBOM，導致企業將惡意軟體或遭入侵的元件視為可信元件，並加以採用；若SBOM缺乏適當的存取控管，軟體版本與相依關係等資訊也可能外洩，成為攻擊者蒐集情報的線索。

對此，ENISA建議採用數位簽章、身分驗證、權限控管及稽核紀錄等措施，強化SBOM的完整性與可信度，並建立版本保存及更新機制。企業也可搭配漏洞可利用性資訊交換（VEX）資料，評估已知漏洞對產品的實際影響，排定處理優先順序。ENISA強調，這份指南雖參考CRA相關要求，但屬非強制性的技術建議，不會新增或改變法律義務，也不能視為CRA的正式法律解釋。