有没有什么工具可以为Windows程序生成SBOM报告（SPDX / CycloneDX）？

Question

有没有什么工具可以为Windows程序生成SBOM报告（SPDX / CycloneDX）？

有很多工具可以扫描Linux操作系统包和应用程序包（例如java，maven，.net），例如Trivy，Syft，whitesource，但看起来没有可用的工具可以为安装的应用程序生成SBOM报告在 Microsoft Windows 上。

请建议。

谢谢 阿卜杜勒·穆赫辛

Answer 1

您可以尝试 Microsoft sbom-tool https://github.com/microsoft/sbom-tool

Microsoft 提供了一个工具，您可以基于 Microsoft GitHub NuGet 包 https://github.com/orgs/microsoft/packages?repo_name=sbom-tool.

生成 SBOM

此工具支持具有 .NET 项目的项目，该项目可以从 nuget.org 获取包，或者仅支持针对 .NET 6 或更高版本的项目，

Answer 2

有很多在Windows上运行的SBOM生成工具：

• cyclonedx-maven-插件
• 来自安克雷的 Syft
• Microsoft.Sbom.Tool
• 窝
• 合并基地
• 斯尼克

这是 Julius Musseau 撰写的简洁评论，我从中提取了这个列表： https://mergebase.com/blog/best-tools-for-generate-sbom/ 该文章没有明确说明发布日期，但从来源来看，该文章发布于 2022 年 8 月，可能更新于 2023 年 9 月。