「网络安全常用术语解读」SBOM主流格式SWID详解

国际标准化组织（ISO）和国际电工委员会（International Electrotechnical Commission，IEC）发布了ISO/IEC 19770-2软件标识（Software Identification，SWID）标签标准，该标准定义了用于描述软件产品的结构化元数据格式。

SWID样例：

xml 复制代码

<SoftwareIdentity
 name="ACME Roadrunner Detector 2013 Coyote Edition"
 tagId="com.acme.rrd2013-ce-sp1-v4-1-5-0" version="4.1.5">
 <Entity name="The ACME Corporation"
 regid="acme.com" role="tagCreator softwareCreator"/>
 <Entity name="Coyote Services, Inc."
 regid="mycoyote.com" role="distributor"/>
 <Link rel="license" href="www.gnu.org/licenses/gpl.txt/">
 <Meta activationStatus="trial" product="Roadrunner Detector"
 colloquialVersion="2013" edition="coyote"/>
 <Payload>
 <Directory root="%programdata%" location="rrdetector">
 <File name="rrdetector.exe" size="532712"
 SHA256:hash="a314fc2dc663ae7a6b6bc6787594057396e6b3f569cd50fd5ddb4d1bbafd2b6a"/>
 <File name="sensors.dll" size="13295"
 SHA256:hash="54e6c3f569cd50fd5ddb4d1bbafd2b6ac4128c2dc663ae7a6b6bc67875940573"/>
 </Directory>
 </Payload>
</SoftwareIdentity>

1. 概览

SWID标签文档由一组结构化的数据元素组成，这些数据元素识别软件产品、描述产品版本、在产品生产和分发中发挥作用的组织和个人、关于构成软件产品的工件的信息、软件产品之间的关系以及其他描述性元数据。SWID标签中的信息为软件资产管理和安全工具提供了在软件部署生命周期中自动化管理软件安装所需的宝贵信息。

SWID标签支持软件库存自动化，作为软件资产管理（Software Asset Management，SAM）过程的一部分，评估计算设备上存在的软件漏洞，检测丢失的补丁，针对配置清单评估，软件完整性检查，安装和执行白名单/黑名单，以及其他安全和操作用例。

2. SWID 配套

2.1. NISTIR 8060

美国国家标准与技术研究所（NIST）与国土安全部（DHS）和国家安全局（NSA）合作，开发了NIST内部报告（NISTIR）8060：互操作SWID标签创建指南。作为ISO/IEC 19770-2:2015标准的配套文件，本报告描述了SWID标签的基本结构，为创建可互操作的SWID标签提供了进一步的指导，以实现网络安全用例。本报告有以下三个目的：