La generazione di SBOM è il processo di ispezione di un artefatto software, un'immagine container o un file system per creare una distinta base del software (SBOM), ovvero un inventario leggibile da una macchina dei componenti e dei relativi metadati. Gli strumenti possono identificare pacchetti e dipendenze, quindi esportare l'inventario in formati come CycloneDX o SPDX.
In ambito di sicurezza informatica, una SBOM aiuta i team a determinare quali componenti software sono presenti e a valutare l'esposizione quando una vulnerabilità interessa una dipendenza. La sua utilità dipende dall'analisi della build o dell'artefatto distribuito corretto e dal collegamento del risultato alla release pertinente. La generazione crea l'inventario; di per sé non mantiene aggiornati i record, non li gestisce nel tempo né garantisce che vengano usati nella risposta agli incidenti. I difensori dovrebbero convalidare la copertura delle scansioni e integrare le SBOM generate nei processi della catena di fornitura del software.