빌드에 포함된 라이브러리의 알려진 취약점과 출처를 지속 추적하려면 필요한 산출물은?

1. 1

   한 시점에 발견된 취약점 목록만 저장하고 포함 라이브러리 버전은 기록하지 않는 보고서

2. 2

   자체 소스 코드의 마지막 커밋 해시만 기록하고 외부 구성요소는 제외한 목록

3. 3

   배포물의 구성요소·버전·공급자와 구성요소 간 관계를 식별한 SBOM

4. 4

   빌드 산출물 서명값만 저장하고 어떤 라이브러리가 포함됐는지는 기록하지 않는 증명