Чек-лист качества CycloneDX

Назначение

Покомпонентная проверка качества SBOM в формате CycloneDX (ECMA-424 / JSON): валидность схемы, полнота координат purl, связность графа dependencies и корректность лицензионных выражений. Решает, можно ли доверять этому SBOM как машинному источнику фактов о составе поставки.

Когда применяется

После приёмки конверта (Чек-лист ZIP поставки), на этапе контроля качества данных перед загрузкой SBOM в портфель (см. П08. Dependency-Track как портфель SBOM). Применяется к каждому файлу bom.json поставки.

Контекст формата CycloneDX — компонентно-ориентированный формат: корень bom, массив components, граф dependencies. Базовая работа с ним разобрана в П02. Чтение CycloneDX JSON руками; форматные детали — в CycloneDX ECMA-424.

Блок 1. Валидность документа

• [ ] bomFormat = CycloneDX, specVersion указан и поддерживается (1.4+).
• [ ] Документ проходит валидацию по JSON-схеме соответствующей версии (без ошибок структуры).
• [ ] serialNumber присутствует и уникален (формат urn:uuid:...).
• [ ] version документа задан; metadata.timestamp корректен.

Блок 2. Метаданные и subject

• [ ] metadata.component описывает анализируемый продукт (имя, версия, тип).
• [ ] metadata.tools указывает генератор и его версию (нужно для трассируемости evidence).
• [ ] Указан metadata.supplier/author (роль/организация-соисполнитель, без ФИО).

Блок 3. Координаты компонентов

• [ ] Каждый элемент components[] имеет type, name, version.
• [ ] У каждого компонента есть purl (или явно обоснованное отсутствие — попадает в unresolved).
• [ ] purl нормализованы: корректный тип, без «приватных» qualifiers, ломающих сопоставление (см. П24. PURL нормализация и private qualifiers).
• [ ] Где применимо — присутствует cpe или externalReferences для сопоставления с уязвимостями.
• [ ] bom-ref уникальны в пределах документа (нет дубликатов идентификаторов).
• [ ] Присутствуют hashes компонентов хотя бы для бинарных артефактов.

Блок 4. Граф зависимостей

• [ ] Секция dependencies присутствует и непустая.
• [ ] Все ref и dependsOn указывают на существующие bom-ref (нет «висячих» ссылок).
• [ ] Граф связен: нет компонентов, не достижимых от корня (или они объяснены).
• [ ] Для C/C++ граф согласован с build evidence поставки (см. П21. Conan graph и package identity).

Блок 5. Лицензии

• [ ] У компонентов заполнено licenses (id SPDX или expression).
• [ ] Лицензионные выражения синтаксически валидны (SPDX expression).
• [ ] Доля компонентов без лицензии измерена и укладывается в порог соглашения о качестве.

Метрики покрытия (фиксируются в отчёте)

Связь с курсом

• Модуль: М03. Форматы SBOM · М04. Идентификаторы
• Практики: П02. Чтение CycloneDX JSON руками · П24. PURL нормализация и private qualifiers · П34. SBOM quality gate
• Нормативка: CycloneDX ECMA-424 · CISA Minimum Elements for SBOM · OWASP SCVS
• Связанные шаблоны: Соглашение о качестве данных SBOM · Чек-лист качества SPDX · Реестр unresolved libraries