Este artigo faz parte do guia completo de DevSecOps.
O que é um SBOM
SBOM (Software Bill of Materials) é a lista dos componentes que compõem um software: bibliotecas, versões e, idealmente, suas dependências transitivas. É como a lista de ingredientes do seu produto.
Sem essa lista, você não sabe exatamente o que está dentro do que entrega — e dependências de terceiros são a maior parte do código de um produto moderno.
Por que isso importa
Quando surge uma vulnerabilidade grave em uma biblioteca (como no caso do Log4Shell), a primeira pergunta é: 'usamos a versão afetada?'. Sem SBOM, essa resposta vira uma caçada em vários repositórios, projetos e imagens.
Com SBOM, a resposta sai em minutos — e o time consegue agir antes que o problema seja explorado em produção.
- Responder rápido a incidentes em dependências.
- Atender exigências de clientes e de compliance.
- Reduzir o risco vindo de terceiros.
Como gerar o SBOM
O SBOM é gerado de forma automática, a partir dos gerenciadores de pacotes e das imagens, durante o build. Existem formatos padronizados, o que permite consumi-lo com diferentes ferramentas.
O importante é que ele seja gerado **a cada build**, e não uma vez: o software muda, e o inventário precisa acompanhar.
Como usar na prática
Gerar o SBOM é o primeiro passo; usá-lo é o que dá resultado. Ele deve alimentar a análise de vulnerabilidades, a priorização e o processo de resposta a incidentes.
Na prática, o SBOM vira a base do SCA: com ele, você sabe o que monitorar e o que atualizar quando algo é divulgado.
Resposta a incidentes
Quando uma nova vulnerabilidade é anunciada, o SBOM acelera três passos: descobrir se você é afetado, localizar onde, e priorizar a correção pelo impacto real.
Isso transforma a reação de 'pânico e busca manual' em um procedimento guiado por dados.
Cuidados e continuidade
SBOM desatualizado engana. Ele precisa ser parte do pipeline, atualizado a cada entrega e acompanhado de um processo de correção — senão é só um arquivo que ninguém usa.
Perguntas frequentes
SBOM é obrigatório?
Depende do setor e do cliente. Além da exigência, ele é uma prática de segurança valiosa por si só, por dar visibilidade sobre dependências.
SBOM substitui o SCA?
Não. O SBOM é o inventário; o SCA usa esse inventário (e outras fontes) para apontar vulnerabilidades conhecidas e priorizá-las.