論文の概要: SBOM Generation Tools in the Python Ecosystem: an In-Detail Analysis

• arxiv url: http://arxiv.org/abs/2409.01214v1
• Date: Mon, 2 Sep 2024 12:48:10 GMT
• ステータス: 処理完了
• システム内更新日: 2024-09-06 06:47:21.062850
• Title: SBOM Generation Tools in the Python Ecosystem: an In-Detail Analysis
• Title（参考訳）: PythonエコシステムにおけるSBOM生成ツール:詳細分析
• Authors: Serena Cofano, Giacomo Benedetti, Matteo Dell'Amico,
• Abstract要約: 我々はCycloneDX標準を用いて4つの人気のあるSBOM生成ツールを分析する。 依存関係のバージョン、メタデータファイル、リモート依存関係、オプションの依存関係に関する問題を強調します。 PyPIエコシステムにおけるメタデータの標準の欠如による体系的な問題を特定する。
• 参考スコア（独自算出の注目度）: 2.828503885204035
• License: http://creativecommons.org/licenses/by-sa/4.0/
• Abstract: Software Bills of Material (SBOMs), which improve transparency by listing the components constituting software, are a key countermeasure to the mounting problem of Software Supply Chain attacks. SBOM generation tools take project source files and provide an SBOM as output, interacting with the software ecosystem. While SBOMs are a substantial improvement for security practitioners, providing a complete and correct SBOM is still an open problem. This paper investigates the causes of the issues affecting SBOM completeness and correctness, focusing on the PyPI ecosystem. We analyze four popular SBOM generation tools using the CycloneDX standard. Our analysis highlights issues related to dependency versions, metadata files, remote dependencies, and optional dependencies. Additionally, we identified a systematic issue with the lack of standards for metadata in the PyPI ecosystem. This includes inconsistencies in the presence of metadata files as well as variations in how their content is formatted.
• Abstract（参考訳）: SBOM(Software Bills of Materials)は、ソフトウェアを構成するコンポーネントをリストアップすることで透明性を向上させるもので、ソフトウェアサプライチェーン攻撃の実施問題に対する重要な対策である。 SBOM生成ツールは、プロジェクトソースファイルを取り込み、SBOMを出力として提供し、ソフトウェアエコシステムと相互作用する。 SBOMはセキュリティ実践者にとって大幅に改善されているが、完全かつ正しいSBOMを提供することは依然として未解決の問題である。 本稿では,SBOMの完全性と正しさに影響を及ぼす問題の原因をPyPIエコシステムに焦点をあてて検討する。 我々はCycloneDX標準を用いて4つの人気のあるSBOM生成ツールを分析する。 私たちの分析では、依存関係のバージョン、メタデータファイル、リモート依存関係、オプションの依存関係に関する問題を取り上げています。 さらに,PyPIエコシステムにおけるメタデータの標準が欠如していることから,体系的な問題を見出した。 これにはメタデータファイルの存在の矛盾や、コンテンツのフォーマットのバリエーションが含まれている。

関連論文リスト

• The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach [56.4040698609393]
  Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。 現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。 提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
  論文  参考訳（メタデータ） (2024-09-10T10:12:37Z)
• A Large-scale Fine-grained Analysis of Packages in Open-Source Software Ecosystems [13.610690659041417]
  悪意のあるパッケージはメタデータの内容が少なく、正規のパッケージよりも静的関数や動的関数が少ない。 きめ細かい情報(FGI)の1次元は、悪意のあるパッケージを検出するのに十分な識別能力を持っている。
  論文  参考訳（メタデータ） (2024-04-17T15:16:01Z)
• StableToolBench: Towards Stable Large-Scale Benchmarking on Tool Learning of Large Language Models [74.88844320554284]
  ToolBenchから進化したベンチマークであるStableToolBenchを紹介します。 仮想APIサーバには、キャッシングシステムとAPIシミュレータが含まれており、APIステータスの変更を緩和するための補完となる。 安定評価システムは、GPT-4を自動評価器として使用し、評価中のランダム性を排除し、解決可能なパスと勝利率を設計する。
  論文  参考訳（メタデータ） (2024-03-12T14:57:40Z)
• Malicious Package Detection using Metadata Information [0.272760415353533]
  本稿では,メタデータに基づく悪意のあるパッケージ検出モデルであるMeMPtecを紹介する。 MeMPtecはパッケージメタデータ情報から一連の機能を抽出する。 実験の結果,偽陽性と偽陰性の両方が有意な減少を示した。
  論文  参考訳（メタデータ） (2024-02-12T06:54:57Z)
• Automatic Bill of Materials [5.14387789987357]
  ABOMはそれぞれの異なる入力ソースコードファイルのハッシュをコンパイラが出力するバイナリに埋め込む。 エコシステム全体で活用すれば、ABOMは高速サプライチェーンアタック検出のためのゼロタッチ、後方互換性、ドロップインソリューションを提供する。
  論文  参考訳（メタデータ） (2023-10-15T05:48:11Z)
• On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
  Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。 Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。 検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
  論文  参考訳（メタデータ） (2023-06-08T20:14:46Z)
• S3M: Siamese Stack (Trace) Similarity Measure [55.58269472099399]
  本稿では、深層学習に基づくスタックトレースの類似性を計算する最初のアプローチであるS3Mを紹介します。 BiLSTMエンコーダと、類似性を計算するための完全接続型分類器をベースとしている。 私たちの実験は、オープンソースデータとプライベートなJetBrainsデータセットの両方において、最先端のアプローチの優位性を示しています。
  論文  参考訳（メタデータ） (2021-03-18T21:10:41Z)
• D2A: A Dataset Built for AI-Based Vulnerability Detection Methods Using Differential Analysis [55.15995704119158]
  静的解析ツールによって報告されたラベル問題に対する差分解析に基づくアプローチであるD2Aを提案する。 D2Aを使用して大きなラベル付きデータセットを生成し、脆弱性識別のためのモデルをトレーニングします。
  論文  参考訳（メタデータ） (2021-02-16T07:46:53Z)
• MOGPTK: The Multi-Output Gaussian Process Toolkit [71.08576457371433]
  ガウス過程(GP)を用いたマルチチャネルデータモデリングのためのPythonパッケージMOGPTKを提案する。 このツールキットの目的は、研究者、データサイエンティスト、実践者にもMOGP(multi-output GP)モデルを利用できるようにすることである。
  論文  参考訳（メタデータ） (2020-02-09T23:34:49Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。