VIP20
本课程属于：007-IoT固件安全 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

依赖清单与SBOM自动化生成

📚 共计 30 章节
点击此处阅读海量试读课程：100+行业、1000+细分领域
01
SBOM概念与价值
什么是SBOM、软件供应链安全背景、SBOM在DevSecOps中的角色、行业标准与法规（如EO 14028）。
基础法规
02
依赖管理基础
包管理器（npm, pip, maven）的工作原理、依赖树与传递性依赖、锁文件（package-lock.json, poetry.lock）的作用。
包管理锁文件
03
SPDX标准详解
SPDX文档结构、SPDX字段（creationInfo, packages, relationships）、SPDX 2.2 vs 2.3 差异、使用spdx-tools生成SPDX。
标准SPDX
04
CycloneDX标准详解
CycloneDX文档结构、组件与依赖表示、CycloneDX 1.4/1.5新特性、使用cyclonedx-bom生成BOM。
标准CycloneDX
05
工具链搭建
安装与配置syft、grype、trivy、cdxgen、spdx-sbom-generator，对比各工具优劣。
工具安装
06
Syft实战
使用syft扫描容器镜像、文件系统、项目目录，输出SPDX/CycloneDX格式，自定义输出路径与格式。
Syft扫描
07
Trivy实战
使用trivy扫描文件系统、仓库、镜像，生成SBOM并导出为JSON/SPDX，结合grype进行漏洞匹配。
Trivy漏洞
08
cdxgen实战
使用cdxgen从项目源码自动生成CycloneDX BOM，支持多语言（Java, Python, Node.js, Go），集成到CI/CD。
cdxgenCI/CD
09
SPDX SBOM Generator实战
使用spdx-sbom-generator扫描Go、Python、Java项目，生成SPDX 2.2格式BOM。
SPDX生成器
10
依赖清单生成
使用pip freeze、npm list、mvn dependency:tree生成原始依赖清单，对比与SBOM的差异。
清单对比
11
SBOM格式转换
使用syft convert、cyclonedx-cli convert、spdx-tools convert实现SPDX与CycloneDX互转。
转换互操作
12
SBOM签名与验证
使用cosign对SBOM进行签名，使用cosign verify验证签名完整性，集成到安全策略。
签名cosign
13
SBOM存储与管理
使用Dependency-Track部署SBOM管理平台，通过REST API上传SBOM，查看组件漏洞。
管理Dependency-Track
14
CI/CD集成（GitHub Actions）
编写GitHub Actions workflow，在每次构建时自动生成SBOM并上传至Dependency-Track。
GitHubCI/CD
15
CI/CD集成（GitLab CI）
编写.gitlab-ci.yml，在CI pipeline中集成syft/trivy生成SBOM，作为制品归档。
GitLab制品
16
CI/CD集成（Jenkins）
编写Jenkinsfile，使用Pipeline插件调用SBOM工具，生成并发布SBOM到Artifactory。
JenkinsPipeline
17
SBOM与漏洞扫描联动
使用grype扫描SBOM文件，输出漏洞报告，设置阈值（Critical/High）阻断构建。
漏洞门禁
18
SBOM与策略引擎（OPA）
编写Rego策略，验证SBOM中是否包含禁止的许可证（如GPL），集成到CI门禁。
OPA许可证
19
SBOM与Kubernetes集成
使用kubectl-sbom插件扫描K8s集群中的镜像，生成集群级SBOM，审计运行时依赖。
K8s集群
20
SBOM与容器镜像仓库集成
配置Harbor/Quay自动生成镜像SBOM，通过Webhook通知下游系统。
镜像仓库Webhook
21
SBOM与告警通知
配置Dependency-Track告警规则，当SBOM中出现新漏洞时，通过Slack/Email发送通知。
告警通知
22
SBOM版本管理
使用Git LFS或专用存储库管理SBOM历史版本，实现依赖变更追溯。
版本Git LFS
23
SBOM合规审计
生成符合EO 14028、NTIA minimum elements的SBOM报告，导出为PDF/HTML供审计。
合规审计
24
SBOM与软件物料清单（SWID）
对比SWID标签与SBOM，了解SWID在软件资产管理中的应用。
SWID对比
25
SBOM与开源许可证合规
使用scancode-toolkit扫描SBOM中的许可证信息，生成合规报告。
许可证合规
26
SBOM与供应链层级（Hierarchical SBOM）
构建多层SBOM（应用层、基础镜像层、OS层），合并为统一视图。
层级合并
27
SBOM与可重现构建
结合reproducible-builds工具，验证SBOM是否与源码构建结果一致。
可重现验证
28
SBOM与机密计算
在机密计算环境中生成SBOM，确保构建过程与依赖信息不被泄露。
机密计算安全
29
SBOM与AI/ML模型依赖
使用syft扫描模型文件（.pt, .h5）的依赖，生成ML模型SBOM。
AI/ML模型
30
综合实战项目
从零搭建一个完整的SBOM自动化流水线，涵盖生成、签名、存储、扫描、告警、审计全流程。
实战全流程