SBOM ve Koken: Ne Gonderdigini Bilmek

Neden onemli

Yaygin kutuphanede kritik acik duser; soru aninda gelir: nerede gonderiyoruz. SBOMsiz ekipler repolari elle arayarak hafta yanitlar; SBOMlular envanteri dakikada sorgular. Fark arac butcesi degil, derlemede listeyi uretip yapiyla saklama aliskanligidir. L58 labi kucuk yapiya SBOM kurar, deneme bulgularini oncelikler; bu ders listenin ne demek oldugunu ve ne yapamayacagini aciklar.

Kavramlar

SBOM bilesenleri adlandirir: kutuphaneler, surumler, lisanslar, iliskiler. Derlemede cozulmus bagimliliklardan uret (kilit dosyalari, derleme onaylari); sonradan tarayip taramanin derlemenin kullandigini gormesini umma. Yapiyla sakla, birlikte surumle; yapisindan sapan SBOM bakimi gereken ikinci kurgudur.

Koken zor soruyu yanitlar: bunu kim derledi, hangi kaynaktan, hangi adimlarla. Imzali onaylar yapiyi derlemesine baglar (kaynak commiti, derleme yapilandirmasi, malzemeler); dogrulama dagitimdan once bagi denetler. Imzasiz yapilar iddia tasir, kanit degil; ilke hangi kaynaklarin koken istedigini soyler ve gereksinim kabule iner (3. ders), belgeye degil.

Onceliklendirme saymayi yener. Bulgular siddete erisilebilirlikle ayarlanir siralanir: ulasilmaz deneme bagimliligindaki kritik bekler, istek yolundaki yuksek simdi dagitilir. Lablardaki deneme bulgular etiketli denemedir, calisma diye onceliklenir; hukumler tasinmaz. Ciddiyet dilimi basina duzeltme suresini izle, ham sayilari degil; yoksa program maruziyeti azaltmak yerine bilet kapatmaya iyilesir.

Uygulamali ornek

Kucuk deneme yapi derlemede SBOM alir; ogrenci okur (bilesenler, surumler, lisanslar), on deneme bulguyu erisilebilir ve siddetli ikiye indirir. Yapiya koken uretilir dogrulanir; kurcalanmis kopya dogrulamayi uyumsuzluk alintili dusurur. Listele, onceliklendir, dogrula: tek oturumda uc hareket.

Yaygin yanlis hamle

SBOM uretip okumadan dosyalamak. Olaylarda sorgulanmayan envanter uygunluk tiyatrosudur; deger acik dusunce yanit dakikalara inince gelir. Tatbikatlarda sorgula, yoksa liste curur.