サイバー攻撃手法・脆弱性分析 重要度:★★★出題: AM2・PM1
ソフトウェア部品表 (SBOM)
そふとうぇあぶひんひょう / Software Bill of Materials
ソフトウェアに含まれるOSSやライブラリの構成要素・バージョン・依存関係を網羅した一覧表。
3行速習ポイント
- CycloneDX や SPDX 等の標準機械可読フォーマットで記述
- ソフトウェアサプライチェーン攻撃や新種脆弱性（Zero-day）判明時の影響範囲を即時特定
- CI/CDパイプラインビルド時に自動生成し、資産管理台帳や脆弱性DBと突合
図解
図CI/CDパイプラインにおけるSBOM自動生成・脆弱性トリアージフロー
1ソースコード / OSS
開発段階依存ライブラリの取り込み
2ビルド ＆ SBOM生成
CI/CDCycloneDX / SPDX 形式で出力
3脆弱性DB突合
自動スキャンNVD / KEV / JVN と照合
4影響システムの特定
運用保守パッチ適用・トリアージ実施
💡 Log4Shell等の新規脆弱性（Zero-day）公表時、自社システムに該当OSSバージョンが含まれているかを数分で特定し、迅速なトリアージとパッチ適用を実現する
概要と本質
SBOM（Software Bill of Materials）は、自社開発システムや外部調達パッケージに組み込まれているサードパーティ製ライブラリ・オープンソースソフトウェア（OSS）の名称・バージョン・ハッシュ値・依存関係を構造化したデータです。Log4Shell等の深刻な脆弱性が公表された際、影響を受ける自社システムの迅速な洗い出しに不可欠です。
重要ポイント・コア概念
- 標準フォーマット：CycloneDX（OWASP推進）、SPDX（Linux Foundation）
- 自動生成タイミング：CI/CD パイプラインにおけるビルド工程・コンパイル直後
- 脆弱性管理連携：NVD、JVN、CVE カタログとのリアルタイム突合・継続モニタリング
午後記述・情報セキュリティ対策での攻略ポイント
令和7年春期午後問1でも出題された超頻出テーマ。「SBOMを作成することで、将来新たな脆弱性が公開された際に影響を受けるシステムを迅速に特定できる」という利点を字数制限内で記述させます。
午後記述で使える加点キーワード（クリックでコピー）
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
