SPDX on OpenChain KWG

Syft

Mon, 01 Jan 0001 00:00:00 +0000

Syft는 Anchore가 개발한 오픈소스 SBOM 생성 CLI 도구입니다. 컨테이너 이미지, 파일시스템, 아카이브를 스캔하여 포함된 패키지를 식별하고 SPDX 또는 CycloneDX 형식의 SBOM을 생성합니다.

GitHub: https://github.com/anchore/syft
라이선스: Apache-2.0

주요 특징

다양한 스캔 대상: 컨테이너 이미지(Docker, OCI), 로컬 파일시스템, tar 아카이브
폭넓은 생태계 지원: Alpine(apk), Debian/Ubuntu(dpkg), RPM, Python, Java, Go, Node.js, Ruby, Rust 등
표준 출력 형식: SPDX 2.2/2.3 (JSON·tag-value), CycloneDX 1.4/1.5 (JSON·XML), Syft JSON
Grype 연동: Anchore의 취약점 스캐너 Grype와 자연스럽게 연동하여 SBOM 기반 취약점 분석 가능
빠른 설치: 단일 바이너리 배포, 별도 런타임 불필요

설치 방법

스크립트 설치 (Linux/macOS)

curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin

Homebrew (macOS)

brew install syft

Docker

docker pull anchore/syft

기본 사용법

(1) 컨테이너 이미지 스캔

# Docker 이미지 스캔 (SPDX JSON 출력)
syft ubuntu:22.04 -o spdx-json=sbom.spdx.json

# CycloneDX JSON 출력
syft ubuntu:22.04 -o cyclonedx-json=sbom.cdx.json

(2) 로컬 디렉토리 스캔

syft dir:/path/to/project -o spdx-json=sbom.spdx.json

(3) 표준 출력으로 결과 확인

# 터미널에서 패키지 목록 확인
syft ubuntu:22.04

# JSON 형식으로 표준 출력
syft ubuntu:22.04 -o json

(4) Grype와 연동하여 취약점 스캔

# Syft로 SBOM 생성 후 Grype로 취약점 분석
syft ubuntu:22.04 -o json | grype

CI/CD 연동 예시

# GitHub Actions 예시
- name: Generate SBOM with Syft
 uses: anchore/sbom-action@v0
 with:
 image: myapp:latest
 format: spdx-json
 output-file: sbom.spdx.json
- name: Upload SBOM
 uses: actions/upload-artifact@v4
 with:
 name: sbom
 path: sbom.spdx.json

참고 자료

Syft GitHub: https://github.com/anchore/syft
Grype(취약점 스캐너): https://github.com/anchore/grype
SPDX 표준: https://spdx.dev/
CycloneDX 표준: https://cyclonedx.org/

11th Meeting

Wed, 02 Aug 2023 00:00:00 +0000

Schedule

목적 : 공유 세미나
일시 : 2023. 08. 09(수), 오후 3:00~4:30
장소 : 온라인(Webex)

Attendees

ETRI
Hyundai Mobis
Kakao
LG Electronics

Invitees

Xmirror Security

Agenda

No	Agenda	Speaker	Slide
1	OpenSCA 소개	Qiuyue Qi, Xmirror Security	pdf
2	SPDX Tools 사용	박정숙, ETRI	pdf

16th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

일정: 2022-12-02 (금) 오후2시~4시
장소: Zoom (접속 방법은 별도 메일 공지)

Agenda

No	Agenda	Speaker	Slide
1	OpenChain Update	Shane Coughlan, Linux Foundation	-
2	OpenChain KWG Update	SK텔레콤 장학성	pdf
3	GitHub Copilot이 집단소송을 당했다고?	라인플러스 김동혁	pdf
4	OLIVE Platform Code Snippet 분석 기능 소개	카카오 이기문	pdf
5	오픈소스 라이선스가 요구하는 고지 의무와 SBOM 표준(SPDX)에 기반한 오픈소스 고지문 자동 생성 방안	SK텔레콤 장학성	pdf
6	2022 Awards	라인플러스 이서연	-
7	소그룹 모임 (Case Study)	all	-

3.9 AI SBOM

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 2 — AI 확장 프로세스 단계에서 구축한다. 전체 구축 로드맵 보기

1. 조항 개요

AI SBOM(AI System Bill of Materials)은 AI 시스템을 구성하는 요소와 그 정보를 담은 목록이다. 전통적 SBOM이 소프트웨어 컴포넌트를 기록한다면, AI SBOM은 여기에 모델, 가중치, 데이터셋, 하이퍼파라미터를 더한다. 3.9는 AI SBOM을 생성하고 관리하는 절차를 갖출 것을 요구한다.

형식은 정해두지 않는다. 규격은 SPDX, CycloneDX, 또는 그 밖의 형식 등 어떤 것이든 무방하다고 명시한다. 다만 한 가지 의무가 있다. AI SBOM은 제3자로부터 유입되는 자재(inbound materials)를 반영해야 한다. 외부에서 도입한 사전학습 모델과 데이터셋이 빠지면 라이선스 의무(3.5)와 투명성 의무를 추적할 근거가 사라지기 때문이다.

CISA 2026 SBOM 최소 요소: 데이터 필드 7개에서 17개로, 무엇을 준비할 것인가

Sun, 09 Aug 2026 00:00:00 +0000

이 글은 Claude Code를 이용해 작성했고, 인용한 핵심 사실은 1차 출처로 교차 검증했습니다.

요약

2026년 7월 29일, 미국 사이버보안·인프라보안국(Cybersecurity and Infrastructure Security Agency, CISA)을 비롯한 18개 기관이 소프트웨어 자재 명세서(Software Bill of Materials, SBOM)가 최소한 담아야 할 요소(Minimum Elements) 개정판을 발행했습니다 A2. 2021년 미국 통신정보관리청(National Telecommunications and Information Administration, NTIA)이 만든 기준을 개정한 것이 아니라 대체(replaces)한다고 문서가 직접 밝힙니다.

요구 수준이 눈에 띄게 올라갔습니다. 데이터 필드가 7개에서 17개로 늘었고 운영 원칙 6개가 함께 규정됐습니다. 신규 요소만 10개입니다.

SPDX 3.0 소개와 기업 도입 전략

Fri, 06 Sep 2024 00:00:00 +0000

1. SPDX 3.0 소개

SPDX의 정의와 목적

SPDX는 Linux Foundation의 프로젝트로, 소프트웨어 패키지와 관련된 중요 정보를 공유하기 위한 표준 형식을 제공합니다. 주요 목적은 다음과 같습니다:

소프트웨어 구성 요소의 투명성 제공
라이선스 컴플라이언스 개선
보안 취약점 관리 지원
소프트웨어 공급망의 신뢰성 향상

SPDX 3.0의 주요 변경사항

SPDX 3.0은 이전 버전에 비해 큰 변화를 가져왔습니다:

SPDX on OpenChain KWG

Syft

주요 특징

설치 방법

스크립트 설치 (Linux/macOS)

Homebrew (macOS)

Docker

기본 사용법

(1) 컨테이너 이미지 스캔

(2) 로컬 디렉토리 스캔

(3) 표준 출력으로 결과 확인

(4) Grype와 연동하여 취약점 스캔

CI/CD 연동 예시

참고 자료

11th Meeting

Schedule

Attendees

Invitees

Agenda

16th Meeting

일정

Agenda

Sponsor

3.9 AI SBOM

1. 조항 개요

CISA 2026 SBOM 최소 요소: 데이터 필드 7개에서 17개로, 무엇을 준비할 것인가

요약

SPDX 3.0 소개와 기업 도입 전략

1. SPDX 3.0 소개

SPDX의 정의와 목적

SPDX 3.0의 주요 변경사항