Когда прогремел Log4Shell, у многих команд был один и тот же неловкий момент: прежде чем чинить уязвимость, нужно было понять, где вообще используется Log4j. Не «используем ли мы его напрямую» — этот ответ обычно знали, — а «в скольких транзитивных зависимостях он спрятан, о существовании которых никто из инженеров даже не подозревал». Команды с SBOM ответили на этот вопрос за минуты. Команды без SBOM разбирались неделями. Урок усвоили быстро: в софте важно знать не только код, который написали сами, но и весь список того, что притащили с собой зависимости...