Visualisierung von SBOMs mit dem Dependency Radar: ein praxisorientierter Ansatz für Dependency Management

Abhängigkeitsgraphen werden mit wachsender Projektgröße schwerer zu überblicken — den Überblick zu behalten, welche Bibliotheken, Frameworks und bekannten Sicherheitsrisiken tatsächlich im Spiel sind, lässt sich irgendwann nicht mehr im Kopf behalten. Software Bills of Materials im CycloneDX-Format sind ein strukturierter Weg, diese Angriffsfläche zu dokumentieren — aber eine rohe SBOM bleibt trotzdem erstmal nur eine lange, flache Liste. Dieser Artikel, erschienen auf sigs.de und aufbauend auf Thomas Ronzons früherem JavaSPEKTRUM-Artikel (6/2024), zeigt, wie aus dieser Liste etwas wird, das Entwickler tatsächlich anschauen.

Von der flachen Liste zum Radar

Die Grundidee ist ein kleines Tool, das jbom-generierte CycloneDX-SBOMs nimmt und sie in eine Visualisierung im Stil des Zalando Tech Radar überführt — dasselbe Quadranten-und-Ring-Format, das Teams schon zur Einordnung von Technologieentscheidungen nutzen, hier zweckentfremdet, um Dependency-Risiken auf einen Blick lesbar zu machen, statt sie in einer JSON-Datei zu vergraben.

Der vollständige Artikel ist auf sigs.de erschienen. Weiterlesen: den vollständigen Artikel auf sigs.de lesen →