gerade im Bereich OpenSource verbreitet. Damit kann man schneller feststellen, ob man von einer Sicherheitslücke wie log4j betroffen ist. Zudem kommen da auch die Lizenzen rein, damit man Inkompatibilitäten vermeidet.
Allerdings gibt es derzeit noch kein standardisirtes Format. Zu den gängigen SBOM-Formaten gehören:
- Software Package Data Exchange (SPDX)
- Software Identification (SWID) Tagging und
- OWASP CycloneDX
Ein guter Artikel auch hier:
https://www.csoonline.com/de/a/die-8...-tools,3674056