SBOMcloud

Définition

Un SBOM (Software Bill of Materials) cloud est un inventaire structuré de tous les composants logiciels (bibliothèques, frameworks, dépendances, images de conteneurs) constituant une application ou une infrastructure cloud. Dans le contexte cloud et DevSecOps, le SBOM permet d'identifier rapidement quels workloads sont affectés lorsqu'une nouvelle CVE est publiée, de démontrer la transparence de la chaîne d'approvisionnement logicielle, et de répondre aux exigences réglementaires de conformité (Executive Order US sur la cybersécurité, NIS 2). Les standards SBOM incluent CycloneDX (OWASP) et SPDX (Linux Foundation), tous deux supportés par les principaux outils de génération. Syft (Anchore) génère des SBOMs à partir d'images conteneurs, de répertoires de code, ou d'environnements Python/Node/Go, et produit des fichiers CycloneDX ou SPDX JSON. Grype (Anchore) consomme ces SBOMs pour identifier les CVE affectant les composants listés. Dans un pipeline DevSecOps cloud-native, le SBOM s'intègre à chaque étape. À la construction : Syft génère un SBOM de l'image Docker construite, et Grype analyse ce SBOM pour détecter des CVE avant le push vers le registre. Au stockage : le SBOM est attaché à l'image comme un artefact OCI dans le registre (via ORAS ou Cosign attach). En production : les scanners continus (Trivy Operator, Sysdig, Prisma Cloud) réévaluent les SBOMs des images en production contre la base de données CVE mise à jour quotidiennement. Les réglementations imposant les SBOMs se multiplient : l'Executive Order 14028 américain impose les SBOMs pour les logiciels vendus au gouvernement américain, la directive NIS 2 européenne impose la gestion de la chaîne d'approvisionnement logicielle pour les OES/OSE, et le FDA américain impose les SBOMs pour les dispositifs médicaux connectés. Les SBOMs cloud permettent des analyses d'impact rapides : lors de la publication de Log4Shell (Log4j CVE-2021-44228), les organisations avec des SBOMs à jour ont pu identifier en minutes tous leurs workloads utilisant Log4j, là où d'autres ont mis des semaines à inventorier manuellement leurs applications.