文章总结： CycloneDX是软件供应链的国际标准，由OWASP基金会发起并经Ecma国际标准化。它作为全栈物料清单规范，支持SBOM、SaaSBOM、HBOM等多种类型，帮助识别和传达安全风险，实现有效漏洞管理。文档详细解析了CycloneDX的核心结构，包括元数据、组件和依赖关系，并通过JSON示例展示其实际应用。相比SPDX和SWID，CycloneDX具有轻量级、支持漏洞跟踪等优势，是遵守美国第14028号行政命令的理想选择。 综合评分： 88 文章分类： 供应链安全,技术标准,漏洞分析,安全建设,解决方案
CycloneDX：全栈软件供应链安全标准解读及优势分析
原创
筑梦网安
全栈安全
2025年10月1日 14:15 安徽 标题已修改
CycloneDX是软件供应链的国际现行标准。该标准由OWASP基金会发起并领导，由Ecma国际（一个致力于信息和通讯系统标准化的国际性行业组织，ECMAScript，也就是我们熟知的JavaScript，也是ECMA 国际负责标准化）完成标准化，并得到全球信息安全界的支持，如今CycloneDX已经是OWASP旗舰项目。
CycloneDX能力全景
1. 概览
OWASP CycloneDX是一个全栈物料清单（BOM）标准规范，它专门为软件供应链安全而设计，就像给软件拍了一张高清晰度的X光片，为降低网络风险提供先进的供应链功能。
该规范支持：
- 软件材料清单（Software Bill of Materials，SBOM）
- 软件即服务材料清单（Software-as-a-Service Bill of Materials，SaaSBOM）
- 硬件材料清单（Hardware Bill of Materials ，HBOM）
- 机器学习材料清单（Machine Learning Bill of Materials，ML-BOM）
- 加密材料清单（Cryptography Bill of Materials，CBOM)
- 制造材料清单（Manufacturing Bill of Materials ，MBOM)
- 运营物料清单（Operations Bill of Materials，OBOM)
- 漏洞披露报告（Vulnerability Disclosure Reports，VDR)
- 漏洞可利用性（Vulnerability Exploitability eXchange，VEX）
- CycloneDX认证（CDXA）
CycloneDX支持表示的交付物类别
使用CycloneDX，可以轻松识别和传达安全风险，从而实现有效的漏洞管理。它使用包URL、CPE和SWID，非常适合用于漏洞响应、GRC和CMDB系统。对服务的全面支持可深入了解应用程序或系统的潜在攻击面。利用来源、血统和配方数据为深入发现网络风险提供了机会。
CycloneDX是遵守第14028号行政命令的理想选择，因为它超过了美国国家电信和信息管理局定义的所有SBOM要求，同时也帮助各机构实现了《国家安全备忘录》（NSM-10）中关于量子安全系统和应用的密码学要求。
CycloneDX是世界上多个政府和国防工业基地的标准。CycloneDX在卫星和太空系统、导弹制导系统和算法战方面备受信赖，在保卫国防方面发挥着作用。
CycloneDX的最新版本为2024年4月9号发布的v1.6。
CycloneDX版本变更历史
2. 具体内容
OWASP SBOM权威指南主要包括如下内容，涉及到了CycloneDX的方方面面，具体内容如下：
- 漏洞管理
- 企业配置管理数据库（CMDB）
- 完整性验证
- 真实性
- 许可证合规性
- 过时的成分分析
- 出口合规性
- 采购
- 供应商风险管理
- 供应链管理
- 组合完整性与“已知未知”
- 配方保证和验证
- 加密资产管理
- 识别弱密码算法
- 后量子密码学（PQC）准备
- 评估加密策略和咨询
- 识别过期和长期的加密材料
- 确保加密证书
CycloneDX核心结构详解
让我们通过一个实际的CycloneDX JSON文件来理解其结构：
{
"bomFormat": "CycloneDX",
"specVersion": "1.4",
"serialNumber": "urn:uuid:3e671687-395b-41f5-a30f-a58921a69b79",
"version": 1,
"metadata": {
"timestamp": "2025-10-01T12:00:00Z",
"tools": [
{
"vendor": "CycloneDX",
"name": "cyclonedx-maven-plugin",
"version": "2.7.0"
}
],
"component": {
"type": "application",
"bom-ref": "my-app-1.0.0",
"name": "我的超级应用",
"version": "1.0.0",
"description": "一个改变世界的创新应用",
"hashes": [
{
"alg": "SHA-256",
"content": "a1b2c3d4e5f67890123456789abcdef0123456789abcdef0123456789abcdef"
}
],
"licenses": [
{
"license": {
"id": "Apache-2.0"
}
}
],
"purl": "pkg:maven/com.mycompany/[email protected]"
}
},
"components": [
{
"type": "library",
"bom-ref": "log4j-2.14.1",
"name": "log4j-core",
"version": "2.14.1",
"description": "Apache Log4j核心库",
"hashes": [
{
"alg": "SHA-1",
"content": "a2b4c6d8e0f1a2b4c6d8e0f1a2b4c6d8e0f1a2b4"
}
],
"licenses": [
{
"license": {
"id": "Apache-2.0"
}
}
],
"purl": "pkg:maven/org.apache.logging.log4j/[email protected]"
},
{
"type": "library",
"bom-ref": "spring-boot-2.5.0",
"name": "spring-boot-starter-web",
"version": "2.5.0",
"purl": "pkg:maven/org.springframework.boot/[email protected]"
}
],
"dependencies": [
{
"ref": "my-app-1.0.0",
"dependsOn": ["log4j-2.14.1", "spring-boot-2.5.0"]
},
{
"ref": "spring-boot-2.5.0",
"dependsOn": ["log4j-2.14.1"]
}
]
}
关键字段解析
1. 元数据(Metadata)
- 描述SBOM本身和主组件信息
- 包含工具、作者、时间戳等
2. 组件(Components)
- 列出所有软件组件
- 每个组件都有类型、名称、版本、许可证等
- 使用purl(包URL)进行唯一标识
3. 依赖关系(Dependencies)
- 描述组件间的依赖图谱
- 可视化组件之间的复杂关系
通过学习OWASP SBOM权威指南可以帮助企业、组织充分利用CycloneDX。若你也想了解更多关于CycloneDX SBOM内容，可以参阅：
-
OWASP SBOM权威指南(第二版).pdf (下载地址：https://url25.ctfile.com/f/1848625-1226085712-d208f6?p=6277，访问密码: 6277)
OWASP SBOM权威指南目录
-
CycloneDX一页通.pdf (下载地址：https://url25.ctfile.com/f/1848625-1226085718-864f3d?p=6277，访问密码: 6277)
3. CycloneDX的优势
CycloneDX与其他格式的比较
| 特性 | CycloneDX | SPDX | SWID | | — | — | — | — | | 轻量级 | ✅ | ❌ | ✅ | | 漏洞跟踪 | ✅ | ❌ | ❌ | | 服务清单 | ✅ | ❌ | ❌ | | 成熟度 | 高 | 高 | 中 | | 社区活跃度 | 高 | 高 | 中 |
CycloneDX具有如下优势：
- 易于采用、实施和扩展
- 为快速采用和优化提供见解和最佳实践的官方指南
- OWASP提供了广泛的可用工具目录
- 单一标准支持完整软件和系统透明度所需的一切
4. 参考
- https://cyclonedx.org/
- https://cyclonedx.org/news/cyclonedx-v1.6-released/
- https://cyclonedx.org/guides/
推荐阅读：
- 「 网络安全常用术语解读 」软件物料清单SBOM详解
- 软件物料清单SBOM都没有，何谈软件供应链安全？
- SBOM主流格式SPDX介绍
关注我，带你看懂技术本质！用最接地气的”人话”拆解硬核知识，让复杂概念变得简单易懂 🔥
每周更新：
- 💡 技术原理图解：一图胜千言，直观呈现技术架构
- 🛠️ 实战案例解析：结合真实项目经验，分享避坑指南
- 🤖 前沿技术追踪：第一时间解读AI、区块链等新兴领域
适合人群：
- ✅ 技术小白想系统入门
- ✅ 开发者想提升技术深度
- ✅ 产品经理需要技术洞察
- ✅ 所有对科技充满好奇的人
在这里你能获得：
- ✨ 复杂技术简单化
- ✨ 抽象概念具象化
- ✨ 理论知识实用化
- ✨ 学习路径清晰化
点击关注，开启你的技术认知升级之旅！ 🚀
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式详见页面底部说明板块。
本文转载自：全栈安全 筑梦网安《CycloneDX：全栈软件供应链安全标准解读及优势分析》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论