VIP20

本课程属于：007-IoT固件安全 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

IoT固件依赖清单与供应链风险治理

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

依赖管理概述

什么是软件依赖、依赖管理的重要性、依赖风险的类型（安全、合规、性能、维护性）。

基础风险分类

依赖清单的构成

SBOM（软件物料清单）的概念、SBOM标准（SPDX、CycloneDX）、依赖清单的生成工具。

依赖风险排查方法论

风险识别四步法（发现、分析、评估、处置）、风险优先级矩阵。

方法论矩阵

依赖扫描工具实战

Snyk、OWASP Dependency-Check、Trivy的安装与使用。

工具SnykTrivy

依赖漏洞库与CVE

CVE编号规则、NVD数据库查询、CVSS评分机制详解。

许可证合规性检查

常见开源许可证（GPL、MIT、Apache）、许可证兼容性分析、合规风险案例。

合规许可证

依赖版本管理策略

语义化版本控制（SemVer）、版本锁定与范围、依赖锁定文件（lock file）的作用。

依赖治理流程设计

建立依赖引入规范、自动化检查门禁、定期审计机制。

依赖更新与修复策略

紧急修复流程、批量更新策略、回滚方案。

供应链攻击防御

什么是供应链攻击、典型攻击案例（event-stream、log4j）、防御措施。

内部私有仓库管理

搭建私有仓库（Nexus、Artifactory）、代理与缓存策略、安全扫描集成。

NexusArtifactory

多语言项目依赖管理

Java（Maven/Gradle）、Python（pip/poetry）、JavaScript（npm/yarn）的依赖管理差异。

多语言Mavennpm

容器镜像依赖扫描

Docker镜像层分析、Trivy扫描容器镜像、基础镜像选择策略。

容器TrivyDocker

依赖风险可视化

构建依赖关系图、使用Graphviz生成依赖树、风险仪表盘设计。

可视化Graphviz

自动化流水线集成

在CI/CD（Jenkins、GitLab CI、GitHub Actions）中集成依赖扫描。

CI/CDJenkinsActions

依赖治理的度量指标

依赖健康度评分、修复时效（MTTR）、漏洞暴露窗口。

遗留系统依赖治理

老旧项目的依赖升级策略、技术债务清理、渐进式重构。

遗留系统重构

依赖风险报告编写

报告结构、风险描述模板、面向不同受众（开发、管理、安全）的报告风格。

依赖治理工具链选型

开源 vs 商业工具对比、工具集成方案、成本效益分析。

选型开源商业

依赖治理团队建设

角色定义（安全 champion、依赖治理负责人）、跨部门协作机制。

依赖治理的DevSecOps实践

将安全左移、在开发阶段嵌入依赖检查。

DevSecOps左移

依赖风险应急响应

漏洞披露后的响应流程、热修复与临时缓解措施。

应急热修复

依赖治理的合规审计

满足SOC2、ISO27001、GDPR等标准的依赖管理要求。

依赖治理的自动化策略

使用Renovate、Dependabot进行自动依赖更新。

RenovateDependabot

依赖治理的文化建设

培养开发者的依赖安全意识、建立知识库与最佳实践文档。

依赖治理的持续改进

PDCA循环在依赖治理中的应用、定期回顾与优化。

依赖治理的案例分析

某金融科技公司的依赖治理转型之路。

案例金融科技

依赖治理的未来趋势

AI在依赖风险预测中的应用、软件供应链安全法规发展。

依赖治理的常见误区

过度扫描、忽视间接依赖、修复不及时等。

误区间接依赖

课程总结与行动指南

依赖治理成熟度模型、制定个人/团队的行动计划。