Die 10 besten Open-Source-SBOM-Tools im Jahr 2026

Open-Source-SBOM-Tools sind Softwarelösungen, mit denen Sie Software-Stücklisten (SBOMs) mithilfe von offenem, einsehbarem und anpassbarem Code erstellen, analysieren und verwalten können. Wenn Sie nach Möglichkeiten suchen, Abhängigkeiten, Lizenzen und Schwachstellen in Ihrem Software-Stack im Blick zu behalten, wissen Sie bereits, wie entscheidend zuverlässige SBOM-Tools geworden sind.

In diesem Leitfaden finden Sie die führenden Open-Source-SBOM-Optionen, die Ihnen helfen, Compliance zu vereinfachen, Risiken zu überwachen und das SBOM-Management in Ihren bestehenden Arbeitsablauf zu integrieren – ganz gleich, wie komplex Ihre Umgebung ist.

	Tool	Best For	Trial Info	Price
1	FOSSA	Am besten für kontinuierliche Lizenz-Compliance	Kostenloser Tarif	Ab $20/Projekt/Monat (jährliche Abrechnung)	Website
2	Tern	Am besten geeignet zur Analyse von Abhängigkeiten in Container-Images	Nicht verfügbar	Für immer kostenlos	Website
3	SPDX	Am besten zur Standardisierung von Daten zu Softwarepaketen	Nicht verfügbar	Für immer kostenlos	Website
4	SCANOSS	Beste Lösung zur Entdeckung von Komponenten in Codebasen	7 Tage kostenloser Test	Ab 35.000 €/Jahr (jährliche Abrechnung)	Website
5	GUAC	Am besten zur Verknüpfung von Lieferketten-Metadaten geeignet	Nicht verfügbar	Für immer kostenlos	Website
6	Trivy	Am besten für Schwachstellen-Scanning in Containern geeignet	Nicht verfügbar	Kostenlos für immer	Website
7	OWASP Dependency-Track	Am besten geeignet für Echtzeit-Risikomonitoring	Nicht verfügbar	Für immer kostenlos	Website
8	cdxgen	Am besten für die automatisierte CycloneDX-SBOM-Erstellung	Nicht verfügbar	Für immer kostenlos	Website
9	Microsoft SBOM Tool	Am besten zur Erstellung von SPDX-SBOMs geeignet	Nicht verfügbar	Für immer kostenlos	Website
10	Syft	Am besten für schnelle Erstellung von Softwarestücklisten	Nicht verfügbar	Für immer kostenlos	Website

Featured Tools

1. 

   TestDevLab

   Visit Website
2. 

   Site24x7

   This is an aggregated rating for this tool including ratings from Crozdesk users and ratings from other sites.

   4.7

   Visit Website
3. 

   GitHub Actions

   This is an aggregated rating for this tool including ratings from Crozdesk users and ratings from other sites.

   4.8

   Visit Website

Beste Open-Source-SBOM-Tools im Test

Unten finden Sie meine ausführlichen Zusammenfassungen der besten Open-Source-SBOM-Tools, die es auf meine Kurzliste geschafft haben. Meine Bewertungen bieten Ihnen einen detaillierten Einblick in die Funktionen, Möglichkeiten und besten Anwendungsfälle jedes Tools, damit Sie das für Sie passende finden.

1

FOSSA

Am besten für kontinuierliche Lizenz-Compliance

• Kostenloser Tarif
• Ab $20/Projekt/Monat (jährliche Abrechnung)

Visit Website

FOSSA ist eine Plattform für die Analyse von Softwarezusammensetzung (SCA), die SBOM-Generierung, Open-Source-Lizenzprüfung, Schwachstellenerkennung und Abhängigkeitsverfolgung über Codebasen, Container und Binärdateien hinweg vereint.

Für wen ist FOSSA am besten geeignet?

FOSSA ist besonders für Unternehmensentwicklungs- und Rechtsteams geeignet, die Open-Source-Lizenzverpflichtungen über große, mehrere Repositorien umfassende Codebasen hinweg verwalten.

Warum habe ich FOSSA ausgewählt?

Ich habe FOSSA in meine Top-Auswahl aufgenommen, weil es die Durchsetzung von Lizenzrichtlinien auf Pull-Request-Ebene ermöglicht. Im Gegensatz zu einem einmaligen Compliance-Audit führt FOSSA automatisierte Scans bei jedem Code-Commit durch und wendet konfigurierbare Lizenzrichtlinien an, mit denen nicht konforme Abhängigkeiten vor dem Merge blockiert werden können. Ebenfalls gefällt mir die automatische Generierung von Lizenzhinweisen, die gesetzlich erforderliche Open-Source-Anerkennungen direkt aus den Scan-Ergebnissen zusammenstellt.

FOSSA Hauptfunktionen

• Multi-Ökosystem-Scanning: Erkennt Abhängigkeiten über mehr als 27 Programmiersprachen, Container, Binärdateien und Paketmanager hinweg.
• SBOM-Format-Auswahl: Exportiert Stücklisten von Software sowohl im SPDX- als auch im CycloneDX-Format.
• Drittanbieter-SBOM-Aufnahme: Akzeptiert und analysiert externe SBOMs für eine kombinierte Risikoanalyse auf Portfolioebene.
• Automatisierte Schwachstellenerkennung: Identifiziert Open-Source-Schwachstellen und verknüpft diese mit SBOM-Komponenten.

FOSSA-Integrationen

FOSSA bietet native Integrationen mit GitHub, GitLab, Jenkins, Jira und Slack, stellt eine API für individuelle Integrationen bereit und unterstützt CI/CD-Workflows über sein CLI.

Pros and Cons

Pros:

• Umfassende Lizenz- und Schwachstellen-Scanabdeckung
• Automatisierte Erstellung von Compliance- und Lizenzhinweisberichten
• Ausführliche Unterstützung bei der Aufnahme von Drittanbieter-SBOMs

Cons:

• Kernplattform ist nicht vollständig Open Source
• Manuelle Nachbearbeitung oft bei komplexen Ergebnissen erforderlich

LEARN MORE ABOUT FOSSA:

• Check out FOSSA on their website

2

Tern

Am besten geeignet zur Analyse von Abhängigkeiten in Container-Images

• Nicht verfügbar
• Für immer kostenlos

Visit Website

Tern ist ein Open-Source-Tool auf Python-Basis zur Erzeugung von Software Bill of Materials (SBOM), das Container-Images und Dockerfiles Schicht für Schicht analysiert. Dabei inventarisiert es Betriebssystempakete und Abhängigkeiten und verfolgt deren Herkunft über die Ausgabeformate SPDX und CycloneDX hinweg.

Für wen ist Tern am besten geeignet?

Tern ist besonders geeignet für DevSecOps-Ingenieur:innen und Sicherheitsteams, die containerisierte Workloads verwalten und eine detaillierte, schichtgenaue Komponentenübersicht benötigen.

Warum ich Tern ausgewählt habe

Tern hat es auf meine Auswahlliste geschafft, weil es Container-Pakete bis zur konkreten Dockerfile-Anweisung zurückverfolgt, durch die sie eingeführt wurden. Die meisten SBOM-Tools verraten, was in einem Container steckt; Tern zeigt, wie es dorthin gelangt ist. Besonders gefällt mir zudem das Feature für gesperrte Dockerfiles, das das Basissystem und die Pakete festschreibt und Builds damit aus einem dokumentierten, bekannten Komponentenstand reproduzierbar macht.

Wichtigste Funktionen von Tern

• Analyse von mehrstufigen Dockerfiles: Analysiert und erzeugt SBOMs für jede Stufe in mehrstufigen Dockerfiles.
• Mehrere SBOM-Ausgabeformate: Gibt SBOMs im SPDX-, CycloneDX-, menschenlesbaren, JSON-, HTML- und YAML-Format aus.
• Offizielle GitHub Action: Führen Sie die Tern-Containeranalyse direkt in CI-Pipelines per gepflegter GitHub Action aus.
• Erweiterungen für Scancode und cve-bin-tool: Lizenzprüfung und Schwachstellenscans können über optionale Erweiterungen integriert werden.

Tern Integrationen

Tern bietet native Integrationen mit GitHub Actions, Skopeo für den Zugriff auf Container-Registries und unterstützt Lizenz- und Schwachstellenscans über native Scancode- und cve-bin-tool-Erweiterungen. Es kann auch als Kubernetes-Job eingesetzt werden, eine API für eigene Integrationen steht nicht zur Verfügung.

Pros and Cons

Pros:

• Herkunftsverfolgung für jede Containersicht
• Ordnet Pakete den Dockerfile-Anweisungen zu
• Optionale Erweiterungen für Lizenz- und CVE-Scanning

Cons:

• Beschränkte Analyse des Ökosystems sprachspezifischer Pakete
• Projekt-Updates seit 2023 ausgesetzt

LEARN MORE ABOUT TERN:

• Check out Tern on their website

3

SPDX

Am besten zur Standardisierung von Daten zu Softwarepaketen

• Nicht verfügbar
• Für immer kostenlos

Visit Website

SPDX ist ein von der ISO ratifizierter offener Standard und ein Tooling-Ökosystem, das von der Linux Foundation gepflegt wird, um SBOM-Dokumente für Softwarepakete, Container und Lieferkettenartefakte zu generieren, zu validieren und zu konvertieren.

Für wen ist SPDX am besten geeignet?

OSPO-Leiter und Architekten der Software-Lieferkette, die ein compliance-taugliches, anbieterneutrales SBOM-Format für rechtliche Prüfungen, Beschaffung und regulatorische Einreichungen benötigen, profitieren am meisten von SPDX.

Warum ich SPDX gewählt habe

SPDX verdient seinen Platz auf meiner Shortlist, weil kein anderes Open-Source-SBOM-Format die gleiche Standardisierungstiefe bei Metadaten erreicht. Ich verlasse mich auf die Unterscheidung zwischen erklärten und abgeleiteten Lizenzen, was entscheidend ist, wenn Rechtsteams überprüfbare Compliance-Aufzeichnungen benötigen. Die kuratierte SPDX-Lizenzliste weist allen Komponenten konsistente Kurzkennungen zu, sodass SBOM-Dokumente unabhängig vom Ersteller vergleichbar bleiben – über Tools, Teams und Organisationen hinweg.

SPDX Hauptfunktionen

• Mehrere Dokumentformate: Exportieren Sie SBOMs in JSON-, YAML-, Tag-Value- oder RDF/XML-Formaten für eine flexible Integration in verschiedene Tools.
• SPDX Online-Tools: Nutzen Sie browserbasierte Anwendungen zum Validieren, Vergleichen und Konvertieren von SBOM-Dateien, ohne lokale Software zu installieren.
• Offizielle Sprachbibliotheken: Greifen Sie programmatisch auf SPDX-Dokumente zu und erzeugen Sie diese mit gepflegten Java-, Python-, Go- und JavaScript-Bibliotheken.
• Maven-Plugin-Integration: Erzeugen Sie automatisch SPDX-SBOMs während des Java-Projekt-Builds über ein offizielles Maven-Plugin.

SPDX-Integrationen

SPDX bietet native Integrationen mit GitHub, Maven, Yocto Project, OpenEmbedded und Kubernetes und stellt offizielle SDKs für Java, Python, Go und JavaScript bereit. Eine API ist für benutzerdefinierte Integrationen verfügbar.

Pros and Cons

Pros:

• Standardisierte Lizenz- und Sicherheitsmetadaten-Unterstützung
• Weit verbreitet in Open-Source-Ökosystemen
• Kompatibel mit mehreren SBOM-Formaten nativ

Cons:

• Benutzeroberfläche setzt stark auf Kommandozeilen-Tools
• Begrenzte native Unterstützung für Binäranalyse

LEARN MORE ABOUT SPDX:

• Check out SPDX on their website

4

SCANOSS

Beste Lösung zur Entdeckung von Komponenten in Codebasen

• 7 Tage kostenloser Test
• Ab 35.000 €/Jahr (jährliche Abrechnung)

Visit Website

SCANOSS ist eine Open-Source-SCA-Plattform, die Quellcode auf Schnipsel-Ebene scannt, um SBOMs in den Formaten SPDX und CycloneDX zu erzeugen, Lizenzrisiken zu erkennen, Schwachstellen zu identifizieren und kryptographische Nutzung über Codebestände und Container hinweg zu dokumentieren.

Für wen ist SCANOSS am besten geeignet?

SCANOSS eignet sich besonders für DevSecOps-Teams und OSPOs in mittelständischen bis großen Unternehmen, die Open-Source-Compliance über umfangreiche, mehrsprachige Codebasen hinweg verwalten.

Warum ich SCANOSS ausgewählt habe

SCANOSS hat es auf meine Auswahlliste geschafft, weil es auf Schnipsel-Ebene scannt und damit deutlich über die reine Manifest-Erkennung hinausgeht. Ich habe Tools verwendet, die eingebetteten Code oder komplett kopierte Funktionen übersehen, aber SCANOSS gleicht Quellcode-Fragmente mit über 100 Millionen Open-Source-Dateien in der OSSKB ab. Mir gefällt auch das Geo Provenance Dataset, das geografische und urheberbezogene Ursprünge von Komponenten anzeigt – etwas, das ich bei anderen Open-Source-SBOM-Tools bisher nicht gesehen habe.

SCANOSS Hauptfunktionen

• SBOM Workbench: Visuelle Oberfläche zum Scannen und Prüfen von Quellcode mit der SCANOSS API.
• Encryption Dataset: Erkennt kryptografische Algorithmen und deren Nutzung zur Unterstützung von ECCN- und Compliance-Prüfungen.
• License Dataset: Verknüpft OSS-Komponenten mit Lizenzbedingungen und hebt Kompatibilitäts- oder Richtlinienrisiken hervor.
• Mehrsprachige SDKs: Stellt SDKs für Python, Java und JavaScript zur Unterstützung verschiedener Entwicklungsumgebungen bereit.

SCANOSS Integrationen

SCANOSS bietet native Integrationen mit GitHub Actions, Jenkins, GitLab CI, VS Code und IntelliJ sowie SDKs für Python, Java und JavaScript. Eine API steht für individuelle Integrationen zur Verfügung.

Pros and Cons

Pros:

• Erkennung von Komponenten auf Schnipsel-Ebene in Codebasen
• Erfasst geografische und urheberbezogene Herkunft von Software
• Identifizierung kryptographischer Algorithmen für Compliance

Cons:

• Eingeschränktes Scannen für OS-Pakete und IaC
• Erweiterte Funktionen erfordern ggf. technischen Aufbau

LEARN MORE ABOUT SCANOSS:

• Check out SCANOSS on their website

5

GUAC

Am besten zur Verknüpfung von Lieferketten-Metadaten geeignet

• Nicht verfügbar
• Für immer kostenlos

Visit Website

GUAC ist ein Open-Source-Tool für die Sicherheit von Lieferketten, das SBOMs, Schwachstellendaten und Herkunftsatteste aufnimmt und deren Beziehungen in eine abfragbare Graphdatenbank abbildet.

Für wen ist GUAC am besten geeignet?

GUAC eignet sich besonders für Sicherheits- und DevSecOps-Teams, die große Software-Portfolios verwalten und eine vollständige Übersicht über die Lieferkette benötigen, die über das hinausgeht, was einzelne SBOM-Tools bieten.

Warum ich GUAC ausgewählt habe

GUAC verdient seinen Platz auf meiner Auswahlliste, weil kein anderes Open-Source-Tool Lieferketten-Metadaten auf diese Weise verknüpft. Mir gefällt, dass es SBOMs aus verschiedenen Quellen aufnimmt, sie in eine Graphdatenbank parst und es mir ermöglicht, transitive Abhängigkeiten in meinem gesamten Portfolio auf einmal abzufragen. Die Einbindung von Informationen aus OSV und deps.dev bedeutet, dass der Graph Schwachstellen aufdeckt, die ein reines SBOM übersehen würde.

GUAC Hauptfunktionen

• GraphQL- und REST-APIs: Stellen den vollständigen Metadaten-Graphen für Abfragen und Integrationen bereit.
• Unterstützung für SPDX und CycloneDX: Importiert und normalisiert standardisierte SBOM-Formate für eine konsistente Verarbeitung.
• Visualizer-Oberfläche: Zeigt Lieferkettenbeziehungen und Datenflüsse in einer navigierbaren Web-GUI an.
• Pluggable Backend-Architektur: Betrieb mit In-Memory- oder persistenten Backends wie PostgreSQL für flexible Bereitstellungsmöglichkeiten.

GUAC Integrationen

GUAC bietet native Integrationen mit Open Source Insights’ deps.dev, Open Source Vulnerabilities (OSV), SPDX, CycloneDX und ClearlyDefined, und stellt sowohl GraphQL- als auch REST-APIs für individuelle Integrationen bereit.

Pros and Cons

Pros:

• Visualisiert lieferkettenübergreifende Verbindungen
• Importiert sowohl SPDX- als auch CycloneDX-SBOMs
• Erfasst Herkunft aus SLSA-Attesten

Cons:

• Erzeugt keine eigenen SBOMs
• Keine offiziellen Plugins für CI/CD-Pipelines

LEARN MORE ABOUT GUAC:

• Check out GUAC on their website

6

Trivy

Am besten für Schwachstellen-Scanning in Containern geeignet

• Nicht verfügbar
• Kostenlos für immer

Visit Website

Trivy ist ein Open-Source All-in-One-Sicherheitsscanner, der SBOMs in den Formaten SPDX und CycloneDX erstellt und gleichzeitig nach Schwachstellen, Fehlkonfigurationen, Geheimnissen und Lizenzrisiken in Container-Images, Dateisystemen, Git-Repositories und Kubernetes-Clustern sucht.

Für wen ist Trivy am besten geeignet?

Trivy ist besonders geeignet für DevSecOps-Ingenieure und Teams für Anwendungssicherheit, die SBOM-Generierung und Sicherheits­schwachstellen­scans direkt in Container- und Kubernetes-Workflows integrieren möchten.

Warum ich Trivy gewählt habe

Trivy hat es auf meine Auswahlliste geschafft, weil es die SBOM-Erstellung für Container-Images und das Schwachstellen-Scanning in einer einzigen Binärdatei vereint – kein separates Tooling erforderlich. Besonders gefällt mir das schichtbasierte Scannen: Beim Scannen eines Container-Images weist Trivy CVEs der jeweiligen Bildschicht zu, die das anfällige Paket eingeführt hat. Das beschleunigt die Priorisierung enorm. Es unterstützt außerdem VEX, sodass ich nicht ausnutzbare CVEs, die an bestimmte Container-Komponenten gebunden sind, ohne manuelles Filtern unterdrücken kann.

Trivy Hauptfunktionen

• SPDX- und CycloneDX-SBOM-Unterstützung: Generierung von SBOMs in beiden wichtigsten Industrieformaten direkt über die CLI.
• Multiekosystem-Abhängigkeitsprüfung: Analyse von Komponenten in mehr als 13 Programmiersprachen, Betriebssystem-Paketen und Infrastructure-as-Code-Dateien.
• Lizenz-Erkennung: Identifizieren und Klassifizieren von Open-Source-Lizenzinformationen für alle gefundenen Pakete und Abhängigkeiten.
• Kubernetes-Operator-Integration: Automatisiertes Schwachstellenmanagement und Risiko-Scanning in laufenden Kubernetes-Clustern mit nativer Operator-Unterstützung.

Trivy-Integrationen

Trivy bietet native Integrationen mit GitHub Actions, GitLab CI, CircleCI, Azure DevOps, Bitbucket Pipelines, Kubernetes (über den Trivy Operator) sowie AWS Security Hub und unterstützt cosign, Rekor und VEX. Eine API für eigene Integrationen ist verfügbar.

Pros and Cons

Pros:

• Scannt Infrastruktur-Code zusammen mit Containern
• Schichtbasierter Schwachstellenscanner für Container
• Umfassende Abdeckung von Programmiersprachen und Betriebssystem-Paketen

Cons:

• Keine Unterstützung für das SWID-Format
• Detaillierte Berichte können ressourcenintensiv sein

LEARN MORE ABOUT TRIVY:

• Check out Trivy on their website

7

OWASP Dependency-Track

Am besten geeignet für Echtzeit-Risikomonitoring

• Nicht verfügbar
• Für immer kostenlos

Visit Website

OWASP Dependency-Track ist eine Open-Source-Komponenten-Analyseplattform, die CycloneDX-SBOMs verarbeitet, um Softwarekomponenten projektübergreifend zu inventarisieren, Schwachstellen zu erkennen, Lizenzrichtlinien durchzusetzen und die Sicherheit der Software-Lieferkette auf Portfolioebene zu überwachen.

Für wen ist OWASP Dependency-Track am besten geeignet?

Es eignet sich besonders für DevSecOps- und Applikationssicherheitsingenieure, die eine portfolioübergreifende Schwachstellenüberwachung in komplexen, mehrprojektigen Softwarelieferketten benötigen.

Warum ich OWASP Dependency-Track ausgewählt habe

Ich habe OWASP Dependency-Track in meine Top-Auswahl aufgenommen, weil kein anderes Open-Source-Tool die kontinuierliche, Echtzeit-Überwachung von Schwachstellen in einem vollständigen Software-Portfolio bietet. Statt auf Abruf zu scannen, spiegelt es Feeds von NVD, OSV und GitHub Advisories, sodass jede Komponente automatisch neu bewertet wird, wenn neue CVEs veröffentlicht werden. Die EPSS-basierte Priorisierung bewerte ich zudem sehr hoch, da so ersichtlich wird, welche Schwachstellen mit hoher Wahrscheinlichkeit tatsächlich ausgenutzt werden – und nicht nur solche mit dem höchsten CVSS-Score.

OWASP Dependency-Track Hauptfunktionen

• Vollständige Bestandsaufnahme: Verfolgen Sie Bibliotheken, Container, Betriebssysteme, Firmware, Hardware und Dienste über alle Projektversionen hinweg.
• CycloneDX SBOM-Unterstützung: Importiert, analysiert und erzeugt CycloneDX-SBOM-, HBOM-, VEX- und VDR-Dokumente.
• Ausdrucksbasierte Richtliniendurchsetzung: Konfigurieren Sie erweiterten Zugriffsschutz und Richtlinienregeln mit CEL, um Aktionen zu automatisieren.
• API-First-Integration: Nutzen Sie die gut dokumentierte REST-API, um sich mit CI/CD zu verbinden und SBOMs sowie Berichte zu automatisieren.

OWASP Dependency-Track Integrationen

OWASP Dependency-Track bietet native Integrationen mit Slack, Microsoft Teams, Mattermost, GitHub, GitLab, Jenkins, Snyk, Trivy, Sonatype OSS Index, und unterstützt benutzerdefinierte Integrationen über die REST API.

Pros and Cons

Pros:

• Echtzeit-Analyse bei neuen Schwachstellenmeldungen
• Unterstützt CycloneDX SBOM, VEX und VDR
• Vollständige Bestandsaufnahme inklusive Hardware und Firmware

Cons:

• SBOMs können nicht aus Quellcode generiert werden
• Keine integrierte Unterstützung für das SPDX-Format

LEARN MORE ABOUT OWASP DEPENDENCY-TRACK:

• Check out OWASP Dependency-Track on their website

8

cdxgen

Am besten für die automatisierte CycloneDX-SBOM-Erstellung

• Nicht verfügbar
• Für immer kostenlos

Visit Website

cdxgen ist ein von OWASP entwickelter Open-Source-SBOM-Generator, der CycloneDX Bill of Materials-Dokumente für mehr als 20 Programmiersprachen, Paketmanager, Container-Images und Artefakttypen erstellt – einschließlich Kryptographie, Betriebs-, SaaS- und KI/ML-Komponenten.

Für wen ist cdxgen am besten geeignet?

cdxgen eignet sich besonders gut für DevSecOps-Ingenieure und Application-Security-Teams, die polyglotte Codebasen verwalten und eine SBOM-Generierung direkt in ihre CI/CD-Pipelines integrieren möchten.

Warum ich mich für cdxgen entschieden habe

cdxgen schafft es auf meine Shortlist, weil es die Referenzimplementierung für CycloneDX-SBOM-Generierung ist und die Spezifikationsversionen 1.4 bis 1.7 unterstützt – mit tiefgehender transitiver Abhängigkeitsauflösung in über 20 Ökosystemen. Besonders beeindruckt mich die Reachability-Analyse via atom, die Callstack-Beweise liefert, ob eine verwundbare Funktion tatsächlich vom eigenen Code erreicht wird. Außerdem nutze ich cdxgen zur Erstellung von CBOM- und OBOM-Dokumenten neben den Standard-SBOMs und erfasse so kryptografische Inventarisierung und Betriebssystem-Komponenten mit einem Tool.

cdxgen Hauptfunktionen

• Native Dependency-Track-Integration: Übermittelt erstellte SBOMs automatisch an einen Dependency-Track-Server zur weiteren Analyse.
• Universeller SBOM-Modus: Sammelt Komponenten aus allen erkannten Manifests in polyglotten Codebasen mit nur einem Befehl.
• RSA BOM-Signierung: Unterstützt kryptografische Signierung und Verifikation von SBOMs über JSON Web Signatures.
• Erfassung von Lizenz- und Herkunftsmetadaten: Extrahiert Lizenzen, PURLs, CPEs und Quellenachweise für jede Komponente.

cdxgen Integrationen

cdxgen bietet native Integrationen mit OWASP Dependency-Track und OWASP dep-scan, unterstützt GitHub Actions und stellt eine API für individuelle Integrationen in CI/CD-Pipelines bereit.

Pros and Cons

Pros:

• Native CycloneDX-Unterstützung bis zur Spezifikation 1.7
• SBOM-Erstellung für mehr als 20 Ökosysteme
• Integrierte Reachability- und Provenance-Analyse

Cons:

• Keine native SPDX-Ausgabe verfügbar
• Begrenzte Optionen für grafische Benutzeroberfläche

LEARN MORE ABOUT CDXGEN:

• Check out cdxgen on their website

9

Microsoft SBOM Tool

Am besten zur Erstellung von SPDX-SBOMs geeignet

• Nicht verfügbar
• Für immer kostenlos

Visit Website

Das Microsoft SBOM Tool ist ein Open-Source-CLI-Tool, das automatisch SPDX-kompatible SBOMs generiert, indem es Abhängigkeiten aus verschiedenen Ökosystemen scannt, Komponenten-Metadaten erfasst sowie SBOM-Ausgaben über verschiedene Builds und Artefakte hinweg validiert oder schwärzt.

Für wen ist das Microsoft SBOM Tool am besten geeignet?

Es eignet sich besonders für DevSecOps-Ingenieure und AppSec-Teams, die in GitHub- oder Azure DevOps-Umgebungen arbeiten und eine skalierbare, unternehmensweite Erstellung von SPDX-SBOMs direkt in ihre Pipelines integrieren möchten.

Warum ich das Microsoft SBOM Tool ausgewählt habe

Das Microsoft SBOM Tool verdient seinen Platz auf meiner Auswahlliste aufgrund seiner nativen Unterstützung sowohl für SPDX 2.2 als auch für SPDX 3.0, was es den meisten Open-Source-Alternativen, die nur eine Version unterstützen, voraus hat. Besonders gut gefallen mir die integrierten Befehle validate und redact: Validate überprüft ein vorhandenes SBOM anhand eines bekannten Ablagepfads, während Redact vor externem Teilen Dateireferenzen entfernt. Außerdem verwendet Microsoft das Tool intern für das eigene Software-Portfolio – das spricht für Zuverlässigkeit im großen Maßstab.

Microsoft SBOM Tool – Hauptfunktionen

• Komponentenerkennung: Scannt eine Vielzahl von Paketmanagern und Ökosystemen mit Microsofts eigener Engine zur Komponentenerkennung.
• ClearlyDefined API-Integration: Bereichert SBOM-Dateien automatisch mit Lizenzdaten aus der ClearlyDefined API.
• Multi-OS-Unterstützung: Läuft auf Windows, macOS und Linux und unterstützt so verschiedene Entwicklungs- und Build-Umgebungen.
• Mehrere Vertriebsmöglichkeiten: Verfügbar als WinGet-Paket, Homebrew-Formel, Docker-Image und als globales .NET-Tool.

Microsoft SBOM Tool – Integrationen

Microsoft SBOM Tool bietet native Integrationen mit GitHub Actions und Azure DevOps Pipelines für die automatisierte SBOM-Erstellung in CI/CD-Workflows. Eine API steht für eigene Integrationen zur Verfügung.

Pros and Cons

Pros:

• Erzeugt sowohl SPDX 2.2 als auch 3.0 SBOMs
• Scannt nativ Abhängigkeiten aus mehreren Ökosystemen
• Enthält Lizenzdaten durch die ClearlyDefined API

Cons:

• Keine Unterstützung für CycloneDX-Format
• Quellbeitrag auf das Microsoft-Team beschränkt

LEARN MORE ABOUT MICROSOFT SBOM TOOL:

• Check out Microsoft SBOM Tool on their website

10

Syft

Am besten für schnelle Erstellung von Softwarestücklisten

• Nicht verfügbar
• Für immer kostenlos

Visit Website

Syft ist ein Open-Source-CLI-Tool und eine Go-Bibliothek, entwickelt von Anchore, die SBOMs (Software-Stücklisten) aus Container-Images, Dateisystemen, Quellcode und Archiven für über 30 Paket-Ökosysteme generiert und Ausgaben in den Formaten SPDX, CycloneDX und Syft JSON bietet.

Für wen ist Syft am besten geeignet?

Syft ist ideal für DevSecOps-Ingenieure und Application-Security-Teams, die die SBOM-Generierung direkt in CI/CD-Pipelines einbinden möchten.

Warum ich Syft ausgewählt habe

Syft verdient seinen Platz auf meiner Shortlist, weil kein anderes Open-Source-SBOM-Tool eine derartig tiefe Katalogisierung bei dieser Geschwindigkeit bietet. Es läuft als einzelne kompilierte Binärdatei ohne externe Abhängigkeiten, sodass ich es in jede Pipeline einbinden und sofort SBOMs für Container-Images oder Dateisysteme generieren kann. Mit dem Ansatz 'Wenn es da ist, sagen wir es Ihnen' erfasst es transitive Abhängigkeiten in über 30 Ökosystemen, darunter Go-Binärdateien und Java-Archive, die andere Tools häufig übersehen.

Syft Hauptfunktionen

• SBOM-Formatkonvertierung: Konvertieren Sie erzeugte SBOMs zwischen den Formaten SPDX, CycloneDX und Syft JSON.
• Paketentdeckung auf Dateiebene: Identifizieren und inventarisieren Sie Softwarekomponenten auf Dateiebene innerhalb von Images und Archiven.
• Signierte SBOM-Bestätigung: Erstellen Sie kryptografisch signierte SBOM-Attestierungen unter Verwendung der in-toto-Spezifikation.
• Offizielle GitHub Action Unterstützung: Integrieren Sie die SBOM-Generierung direkt in GitHub-Workflows mit einer gepflegten Action.

Syft Integrationen

Syft bietet eine offizielle GitHub Action für die native Integration in GitHub-Workflows, unterstützt Docker-basierte Bereitstellung zur Nutzung mit Docker- und OCI-Images und stellt eine CLI für den Einsatz mit Jenkins, GitLab und anderen CI-Pipelines bereit. Eine API und eine Go-Bibliothek stehen für individuelle Integrationen zur Verfügung.

Pros and Cons

Pros:

• Unterstützt über 30 Ökosysteme und Formate
• Gibt SPDX, CycloneDX und Syft JSON aus
• CLI läuft in Docker, CI/CD und lokal

Cons:

• Kein integriertes Schwachstellen-Scanning
• Eingeschränkte Windows-Unterstützung für Paket-Ökosysteme

LEARN MORE ABOUT SYFT:

• Check out Syft on their website

1. Protobom

   Am besten geeignet für die Übersetzung zwischen SBOM-Formaten

2. SW360

   Am besten geeignet für das Management des Lebenszyklus von Softwarekomponenten

3. Snyk Open Source

   Am besten geeignet zur Verfolgung von Open-Source-Schwachstellen

4. bomctl

   Am besten für die SBOM-Verwaltung über die Befehlszeile

So wählen Sie Open-Source-SBOM-Tools aus

Es ist leicht, sich in langen Feature-Listen und komplexen Preisstrukturen zu verlieren. Damit Sie während Ihres individuellen Software-Auswahlprozesses den Überblick behalten, finden Sie hier eine Checkliste wichtiger Faktoren, auf die Sie achten sollten:

Was sind Open-Source-SBOM-Tools?

Open-Source-SBOM-Tools sind öffentlich zugängliche Softwarelösungen, mit denen Sie Software-Stücklisten (SBOMs) in Ihre Entwicklungsprozesse integrieren, erstellen, verwalten und analysieren können. Mit diesen Tools erfassen Sie Projektabhängigkeiten, generieren standardisierte SBOM-Dokumente und integrieren sie in Ihre Workflows, um Compliance, Schwachstellenmanagement und Lizenzrisikomanagement für Ihre gesamte Software-Lieferkette zu unterstützen.

Funktionen

Beim Auswählen von Open-Source-SBOM-Tools sollten Sie auf die folgenden Schlüsselfunktionen achten:

• SBOM-Erstellung: Erstellt eine umfassende Software-Stückliste (SBOM), inventarisiert automatisch Softwarekomponenten, Abhängigkeiten und Versionen für jeden Build.

• Unterstützung von Standardformaten: Gibt SBOMs in weitverbreiteten Formaten wie SPDX oder CycloneDX aus und gewährleistet so die Kompatibilität mit Aufsichtsbehörden, Kunden und nachgelagerten Tools.

• Multi-Ökosystem-Scanning: Analysiert Quellcode, Binärdateien und Container-Images über mehrere Programmiersprachen und Ökosysteme hinweg, um einen vollständigen Überblick über alle Abhängigkeiten zu ermöglichen.

• Erfassung von Komponenten-Metadaten: Hält wichtige Angaben wie Version, Lieferant, Lizenzierung, PURLs und Hashes fest – zur Unterstützung von Nachverfolgung und Compliance-Einsätzen.

• Verwundbarkeits-Korrelation: Verknüpft Komponentendaten in der SBOM mit öffentlichen Schwachstellendatenbanken, sodass Sie CVEs in Ihren Abhängigkeiten finden und überwachen können.

• Lizenz-Compliance-Analyse: Markiert inkompatible oder risikoreiche Open-Source-Lizenzen und unterstützt die Sorgfaltsprüfung sowie juristische Überprüfungen bei der Softwarebereitstellung.

• CI/CD-Integration: Verbindet sich direkt mit Ihren Buildsystemen und Pipelines über CLI-Tools, Plugins oder APIs und ermöglicht Automatisierung sowie die Durchsetzung von Richtlinien.

• Container- und IaC-Scanning: Untersucht Container-Images sowie Infrastructure-as-Code-Dateien, um Abhängigkeiten aufzudecken, die in Standard-Manifests nicht sichtbar sind.

• VEX-Dokumenten-Unterstützung: Erstellt Vulnerability Exploitability eXchange (VEX)-Dokumente, welche klarstellen, welche Schwachstellen in Ihrer SBOM tatsächlich Ihr Produkt betreffen.

• API-Zugriff: Ermöglicht die Automatisierung des SBOM-Managements und die Abfrage von Komponentendaten per Programmierung und lässt sich einfach in interne Security- oder Compliance-Workflows integrieren.

Vorteile

Der Einsatz von Open-Source-SBOM-Tools bietet zahlreiche Vorteile für Ihr Team und Ihr Unternehmen. Nachfolgend einige Erwartungen:

• Erhöhte Transparenz in der Lieferkette: Erhalten Sie durch SBOM-Generierung und Multi-Ökosystem-Scanning eine automatisierte, vollständige Übersicht aller Softwareabhängigkeiten in Projekten.

• Stärkere Compliance-Position: Erfüllen Sie regulatorische Anforderungen wie EO 14028 oder EU CRA mithilfe von standardisierten, prüfbaren SBOMs und compliancefähigen Metadaten.

• Schnellere Reaktion auf Schwachstellen: Verknüpfen Sie Komponentendaten mit Schwachstellendatenbanken und erstellen Sie VEX-Dokumente, um reale Sicherheitsrisiken rasch zu erkennen, zu bewerten und zu bearbeiten.

• Reduzierung von Lizenzrisiken: Erkennen und prüfen Sie automatisch Open-Source-Lizenzen in Ihren Abhängigkeiten, um Copyleft- oder inkompatible Komponenten zu vermeiden.

• DevSecOps-Workflows: Binden Sie die SBOM-Erstellung und Sicherheitschecks direkt in CI/CD-Pipelines ein und setzen Sie automatisierte, richtlinienbasierte Kontrollen um.

• Niedrigere Betriebskosten: Verwenden Sie quelloffene und API-basierte Tools, um einer Herstellerbindung zu entgehen und die Verwaltungskosten langfristig berechenbar zu halten.

• Bessere Audit-Bereitschaft: Dokumentieren Sie Metadaten, Herkunft und Berichtsdaten, die bei Anfragen von Kunden oder Partnern zur Absicherung Ihrer Lieferkette entscheidend sind.

Kosten & Preise

Bei der Auswahl von Open-Source-SBOM-Tools ist es wichtig, die verschiedenen verfügbaren Preismodelle und Tarife zu verstehen. Die Kosten variieren je nach Funktionsumfang, Teamgröße, Zusatzfunktionen und anderen Faktoren. Die folgende Tabelle fasst gängige Tarife, durchschnittliche Preise und typische Funktionen in Open-Source-SBOM-Lösungen zusammen:

Tarifvergleichstabelle für Open-Source-SBOM-Tools