合規
建立 SBOM 產生與審查流程
每個受治理的軟體發行都有機器可讀、可歸責的元件清冊，可支援漏洞與供應鏈決策。
流程
照這個順序做。
- 定義涵蓋產品、發行階段、消費者、核准的 SBOM 格式、最低欄位、命名慣例、保留與存取規則。
- 選擇能反映實際出貨成品的產生點，例如已解析的建置依賴、容器映像與封裝二進位，而不只是清單檔。
- 在 CI 用釘選且可信的工具產生 SBOM，並盡量擷取產品、元件、版本、供應商、關係、識別碼、時間戳與作者中繼資料。
- 驗證語法、必要欄位、元件關係、重複處理，以及 SBOM 與發行成品是否對應。
- 簽署或把 SBOM 綁定到成品身分，存入核准儲存庫，並以版本化存取控制發布給授權消費者。
- 把 SBOM 資料搭配弱點情報與可達性或部署脈絡，用來開啟、排序並追蹤修復工作。
- 監控管線健康；在成品變更、發現錯誤或最低要素要求演進時，重新產生或修正 SBOM。
先準備
貓會向你要的輸入。
- 涵蓋產品與發行成品
- 建置管線存取
- 所需 SBOM 格式與欄位
- 發布與保留政策
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/generating-and-analyzing-sboms/SKILL.mdskills/cybersecurity-skills/analyzing-sbom-for-supply-chain-vulnerabilities/SKILL.md
界線
界線跟著提示一起走。
- 只在授權建置環境執行，並依政策保護專有元件資訊。
- 當不透明二進位、動態依賴或供應商資料不可得造成已知缺口時，不要宣稱完整。
- SBOM 是盤點輸入，不是元件安全或可被利用的證明。
完成代表
一個可核對的終點。
發行閘道驗證證明每個涵蓋成品都有可解析、符合必要欄位、綁定正確成品、已儲存且授權消費者可存取的 SBOM。
來源
這個流程從哪來。
- www.cisa.gov/topics/information-communications-technology-supply-chain-security/sbom
- csrc.nist.gov/pubs/sp/800/218/final
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
