如何在CycloneDX SBoM中纳入.NET Framework组件？

一、CycloneDX中处理运行时依赖的常规方式 #

CycloneDX支持标记系统级/运行时依赖，这类不属于项目NuGet包的组件，通常归类为framework类型。你可以直接在SBoM的components节点中手动添加.NET Framework的信息，核心必填/推荐字段包括：

• type: 固定设为framework
• name: ".NET Framework"
• version: 你部署的具体版本（例如4.8.1）
• purl: 按规范构造，比如pkg:generic/dotnet-framework@4.8.1
• cpe: 对应版本的CPE编号（如cpe:2.3:a:microsoft:.net_framework:4.8.1:*:*:*:*:*:*:*），方便漏洞扫描工具识别

二、自动化添加.NET Framework到SBoM的工具方案 #

1. CycloneDX CLI合并SBoM：如果能拿到.NET Framework的独立SBoM，用CycloneDX CLI的合并命令整合：

   cyclonedx merge --input-files your-app-sbom.json dotnet-framework-sbom.json --output merged-sbom.json
   

2. 脚本批量处理：写个简单的脚本（PowerShell/Python）读取现有SBoM并注入组件信息，比如PowerShell处理JSON格式的SBoM：

   $sbom = Get-Content "your-app-sbom.json" | ConvertFrom-Json
   $dotnetComponent = [PSCustomObject]@{
       type = "framework"
       name = ".NET Framework"
       version = "4.8.1"
       purl = "pkg:generic/dotnet-framework@4.8.1"
       cpe = "cpe:2.3:a:microsoft:.net_framework:4.8.1:*:*:*:*:*:*:*"
   }
   $sbom.components += $dotnetComponent
   $sbom | ConvertTo-Json -Depth 10 | Set-Content "updated-sbom.json"
   

3. 扩展CycloneDX-dotnet工具：如果需要长期自动化，基于CycloneDX-dotnet的开源代码扩展，添加检测项目目标.NET Framework版本并自动注入SBoM的逻辑。

三、.NET Framework的SBoM资源获取 #

微软官方目前没有直接提供.NET Framework的完整SBoM，但可以通过以下方式生成：

• Syft扫描生成：在安装了目标.NET Framework版本的机器上，用Syft扫描其安装目录生成SBoM：

  syft scan --format cyclonedx-json --output dotnet-framework-sbom.json dir:C:\Windows\Microsoft.NET\Framework\v4.8.10011
  

  扫描后手动过滤无关文件，保留核心组件即可。
• 基于MSRC公告构造：从微软MSRC安全公告中提取对应版本的组件和漏洞信息，结合CPE编号手动生成简化版SBoM。

四、替代解决方案 #

如果暂时无法将.NET Framework纳入SBoM，可通过以下方式补全漏洞排查：

• 单独排查运行时漏洞：直接针对部署的.NET Framework版本，查询MSRC安全公告，将其漏洞信息与SBoM的扫描结果合并。
• 标记依赖关系：在SBoM的dependencies节点中，添加应用组件对.NET Framework的依赖，明确运行时层级，方便后续漏洞溯源。

内容的提问来源于stack exchange，提问作者bjtieman