Как следует учитывать .Net Framework в SBoM CycloneDX?
У нас есть приложения C#, разработанные в VS2022. Мы можем использовать cycledx-dotnet для автоматического создания SBoM, содержащего все зависимости NuGet, но не самого .Net Framework.
Я понимаю, что приложение, вероятно, не должно содержать информацию о Framework, потому что это проблема времени развертывания. Приложение можно развернуть для работы в различных версиях Framework. Но код приложения использует Framework.
Наш код развертывается на оборудовании, которое распространяется как часть нашего продукта. Мы можем контролировать, на какой версии Framework работает наше приложение. Я хочу создать SBoM, содержащий компоненты нашего приложения, а также развернутую версию .Net Framework. Нам нужна эта информация, чтобы полностью понять уязвимости системы.
Как это обычно обрабатывается в CycloneDX SBoM? Есть ли инструменты для добавления в .Net Framework, на которой развернуто приложение?
Мне не удалось найти источник SBoM для .Net Framework. Кто-нибудь знает, существует ли такое? И где их можно найти?? Я подумал, что если я смогу хотя бы найти спецификации для .Net Framework, я смогу объединить их с нашими спецификациями. Или есть другие варианты?
Спасибо за любые мысли по этому поводу!!!
[1] https://github.com/CycloneDX/ циклонедкс-dotnet
Подробнее здесь: https://stackoverflow.com/questions/791 ... one-dx-bom
