SBOMツールとは？SBOM管理ツールの種類（管理型・脆弱性管理一体型・解析型）と、対応形式・価格の選び方

この記事の答え

SBOMツールは、ソフトウェアに入っているOSSやライブラリの部品表を作って管理し、脆弱性・ライセンス違反・サポート切れを見張るツールです。入口の違いで、SBOMを集めて見張る管理型、脆弱性管理の中で扱う一体型、バイナリから作る解析型に分かれます。選ぶときは「何を入口にするか」「形式と版」「データを置く場所」の3つを先に決めます。

SBOMツールとは

SBOMはSoftware Bill of Materialsの略で、ソフトウェア部品表のことです。SBOMツールは、この部品表を機械で読める形で持ち、新しい脆弱性が出たらどの製品に影響するかを見つけるために使います。

比較ページには、自社で開発して自社のブランドで出している会社の製品を載せています。海外製品を売る代理店の取り扱い、作成代行や診断の受託サービスは載せていません。

3つの種類

管理型：できあがったSBOMを取り込んで見張ります。例はAGESTのSBOM Archi、サイバートラストのMIRACLE Vul Hammer、日立ソリューションズのSBOM管理システムです
脆弱性管理一体型：サーバーやコンテナ、クラウドの脆弱性管理の中でSBOMも扱います。例はアシュアードのyamory、フューチャーのFutureVulsです
解析型：バイナリを解析してSBOMを作ります。例はサイエンスパークのSBOMスキャナ、VicOneのxZETAです

形式と版

SBOM Archiは、SPDX 2.2〜2.3、SPDX-Lite、CycloneDX 1.4〜1.6を扱います
MIRACLE Vul Hammerは、SPDX 2.3とCycloneDX 1.4・1.5・1.6を扱います
FutureVulsは、取り込みがCycloneDXとSPDX、出力がCycloneDXです
日立ソリューションズのSBOM管理システムは、SPDXとCycloneDXに加えて、自社独自のExcel様式も取り込めます

データを置く場所

SBOMスキャナは、スタンドアロンのPCで動き、バイナリを社外に出さずに解析できます
SBOM Archiは、オフライン環境向けに専用のAgentがあり、オンプレミス版は今後の予定です
yamoryとFutureVulsは、クラウドのサービスです

価格

料金表を公開しているのはAGESTのSBOM Archiです。初期手数料は100,000円、10 SBOMプランは月額50,000円（どれも税抜）⁠で⁠す⁠。FutureVulsのプランは100ライセンスからで、金額は公式に載っていません。ほかの製品も見積もりで確かめます。

優先度の決め方

SBOM Archiは、CVSSとEPSSで評価します
MIRACLE Vul Hammerは、CVSS、ExploitDB、KEV、EPSSを画面に出します
FutureVulsは、SSVCで優先度を自動で判断します
xZETAは、独自の評価VVIRで順番を決めます