Lühidalt: CRA kehtestatud kohustus koostada SBOM tekitab raskesti hallatava CVE-teadete tulva, mida praktikauuringute kohaselt saab VEX-põhise ligipääsetavusanalüüsi abil vähendada kuni 90 protsenti.
EL-i küberkerksuse määrus (Cyber Resilience Act) kohustab digitaalsete toodete tootjaid koostama tarkvara koostisosade nimekirja (SBOM), mis praktikas toob kaasa niivõrd suure hulga automaatseid haavatavusteateid, et neid pole enam käsitsi võimalik ohjata. Vulnerability Exploitability eXchange (VEX) peaks aitama sellest tulvast eraldada tegelikult olulised riskid.
Küberkerksuse määrus (CRA) kohustab digitaalsete toodete tootjaid pidama tehnilise dokumentatsiooni osana tarkvara koostisosade nimekirja (SBOM). Nõutav on vähemalt toote esimese taseme sõltuvuste loetelu; kõigi transitiivsete sõltuvuste täielik ja põhjalik loetlemine ei ole kohustuslik, kuigi paljud ettevõtted püüdlevad selle poole. Sarnane, ent oluliselt kitsam nõue kehtib juba ka USA-s: presidendi määrus Executive Order 14028 nõuab SBOM-i tarkvaratarnijatelt, kes müüvad tooteid USA föderaalasutustele – tegemist on puhtalt riigihanke kontekstis kehtiva reegliga, mitte kogu turgu hõlmava kohustusega nagu CRA. Mõlemal juhul dokumenteeritakse SBOM masinloetavas vormingus, näiteks CycloneDX või SPDX, ja see loetleb kolmandate osapoolte komponendid ning avatud lähtekoodiga teegid.
Kui SBOM-e hakatakse koostama laialdaselt, muutub algne läbipaistvuse probleem hoopis ülekoormuse probleemiks: automaatne võrdlus haavatavuste andmebaasidega, nagu National Vulnerability Database või GitHub Advisory Database, tekitab iga koostamiskorra (build) kohta sadu kuni tuhandeid hoiatusteateid, niipea kui skanner leiab paketi, millele vastab CVE-kirje – sõltumata sellest, kas haavatavus konkreetses tootes üldse asjakohane on. Tavapärased skannerid kontrollivad vaid seda, kas vigane komponent asub kettal, mitte aga seda, kas haavatav kood on käitusajal laaditud, käivitatud või võrgu kaudu ligipääsetav.
CISO-de jaoks tähendab see konkreetset prioriseerimisprobleemi: iga üksiku CVE-teate käsitsi kontrollimine nõuab tööjõuressurssi, mida enamikul turbemeeskondadel napib. Ligipääsetavusel põhinevate analüüside juhtumiuuringud, näiteks projektide nagu Prometheus puhul, näitavad kuni 90-protsendilist ja suuremat vähenemist, kui pelgad versiooniga kokkulangevused asendatakse tegeliku ligipääsetavusanalüüsiga. Suurt osa SBOM-is teatatud haavatavustest ei saagi seega konkreetses kasutuskontekstis üldse ära kasutada.
Vastukaaluks puhtale CVE-tulvale kasutatakse Vulnerability Exploitability eXchange’i (VEX) – vormingut, mille abil tootjad dokumenteerivad haavatavuse ärakasutatavuse staatust konkreetse toote jaoks: näiteks kas teatatud viga on tootele tegelikult mõjuv, mitte mõjuv või juba kompenseerivate meetmetega maandatud. Turbejuhtide jaoks seisneb praktiline kasu selles, et skannimistulemusi saab rikastada VEX-andmetega ja nii vähendada oluliselt tegelikult menetlemist vajavate teadete arvu, selle asemel et töödelda iga CVE-d eraldi ja ilma kontekstita.
Allikas: www.it-daily.net · Avaldatud 3. august 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse (EU AI Act) artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 poolt.