Open-Source-Toolkit
sbomqs
sbomasm
sbommv
bomtique
$
brew tap interlynk-io/interlynk
APACHE-2.0 · IN GO GESCHRIEBEN · CYCLONEDX & SPDX
Wie sie zusammenspielen
Erstellen
bomtique
SBOMs manuell erstellen, wo automatisiertes Scannen an seine Grenzen stößt.
Zusammenführen
sbomasm
SBOMs zu einem Dokument zusammenführen, bearbeiten, anreichern und signieren.
Bewerten
sbomqs
Qualität bewerten und Compliance prüfen, bevor Sie ausliefern.
Verschieben
sbommv
SBOMs zwischen Systemen und Plattformen übertragen.
Die Tools
sbomqs
Go
Apache-2.0
★ 293
SBOM-Qualität bewerten und validieren.
Bewertet jede CycloneDX- oder SPDX-SBOM auf einer Qualitätsskala von 0 bis 10 und prüft sie gegen Compliance-Standards. Listet und filtert Komponenten, findet diejenigen, denen Sicherheits-Identifier fehlen, und erstellt teilbare Bewertungsberichte. Läuft in CI- und Air-Gapped-Umgebungen.
Qualität 0–10
NTIA
BSI TR-03183-2
FSCT v3
OpenChain Telco
air-gapped
$
brew install sbomqs
$
sbomqs score your-sbom.json
sbomasm
Go
Apache-2.0
★ 118
SBOMs zusammenführen, bearbeiten und signieren.
Fügt mehrere Komponenten-SBOMs zu einem einzigen Dokument auf Produktebene zusammen, bearbeitet Metadaten für die Compliance, entfernt sensible Informationen, ergänzt fehlende Felder wie Lizenzen und signiert und verifiziert das Ergebnis kryptografisch.
zusammenführen
bearbeiten
anreichern
schwärzen
signieren & verifizieren
CycloneDX
SPDX
$
go install github.com/interlynk-io/sbomasm@latest
$
sbomasm assemble -n app -v 1.0.0 -o final.json 1.json 2.json
sbommv
Go
Apache-2.0
★ 27
SBOMs zwischen Systemen verschieben.
Ein modulares, adapterbasiertes Mover-Tool, das SBOMs aus Quellen abruft, übersetzt und validiert, Metadaten anreichert und an Ziele weiterleitet. Konzipiert, um neue Systeme ein- und auszubinden, ohne Ihre Pipeline zu verändern.
GitHub
AWS S3
lokale Ordner
Dependency-Track
Interlynk
übersetzen
validieren
$
brew install sbommv
$
sbommv --in github --out dtrack # fetch & push
bomtique
Neu
Go
Apache-2.0
★ early
SBOMs für C/C++ und Embedded manuell erstellen.
Eine Manifest-Spezifikation und ein Referenz-Tool zur Erstellung von CycloneDX- und SPDX-SBOMs aus gezielt kuratierten Komponenten-Metadaten. Gedacht für Codebasen, in denen automatisierte SCA unzuverlässig ist: C/C++, Embedded, Legacy und Hybrid. Deterministisch, reproduzierbar, mit Granularität pro Build-Variante und Drift-Erkennung.
C/C++
Embedded
deterministisch
pro Variante
vendored + gepatcht
Drift-Erkennung
$
brew install bomtique
$
bomtique emit # CycloneDX from your manifest
Standardmäßig offen
4
Fokussierte, kombinierbare CLI-Tools
Einzelne statische Binärdateien, keine Runtime
Apache-2.0
Permissive Lizenz in jedem Repository
2
Unterstützte Standards: CycloneDX & SPDX
$