VIP20

本课程属于：007-IoT固件安全 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

从SBOM到漏洞修复的闭环

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

SBOM基础概念

什么是SBOM、SBOM的起源与标准（SPDX、CycloneDX）、SBOM的核心价值。

标准SPDXCycloneDX

SBOM生成实战

使用Syft、Trivy等工具生成SBOM，理解不同格式（JSON、XML）的差异。

SBOM的组成要素

组件名称、版本号、依赖关系、许可证信息、哈希值。

组件许可证哈希

SBOM的存储与管理

本地存储、版本控制（Git）、SBOM仓库（如 Dependency-Track）。

GitDependency-Track

SBOM的验证与签名

使用Cosign对SBOM进行签名，验证SBOM的完整性与来源。

Cosign签名完整性

漏洞数据库入门

CVE、NVD、GitHub Advisory Database、OSV 的基本概念与查询方法。

SBOM与漏洞匹配

如何将SBOM中的组件与CVE进行关联，理解匹配逻辑（精确匹配、模糊匹配）。

关联精确匹配模糊匹配

漏洞严重性评估

CVSS评分机制（Base、Temporal、Environmental），理解严重性等级。

CVSSBaseTemporal

漏洞可达性分析

什么是可达性？为什么不是所有CVE都需要修复？如何判断漏洞是否可达。

可达性分析优先级

漏洞修复策略

升级版本、打补丁、配置缓解、组件替换、WAF规则。

升级补丁WAF

自动化漏洞扫描

集成Trivy、Grype到CI/CD流水线，实现自动化的SBOM扫描。

CI/CDTrivyGrype

漏洞修复优先级排序

基于CVSS评分、EPSS概率、业务影响、资产价值进行排序。

EPSSCVSS业务影响

修复验证与回归测试

修复后如何验证漏洞已消除，如何避免引入新问题。

验证回归测试

修复的自动化

使用Dependabot、Renovate实现自动化的依赖更新与PR创建。

DependabotRenovatePR

策略即代码（Policy as Code）

使用OPA或Rego定义安全策略，自动阻断高风险依赖。

SBOM的版本管理

当组件升级后，如何更新SBOM，如何追踪SBOM的历史版本。

版本管理历史

SBOM的差异分析

比较两个SBOM版本，识别新增、移除、变更的组件。

差异比较变更

SBOM的合规性审计

如何利用SBOM满足GDPR、PCI-DSS、EO 14028等合规要求。

GDPRPCI-DSS合规

SBOM的共享与分发

通过OCI Registry、HTTP API、邮件等方式分发SBOM。

SBOM与软件供应链安全

理解SLSA框架，如何通过SBOM提升供应链安全等级。

SLSA供应链安全

SBOM的粒度控制

应用级SBOM、容器镜像SBOM、操作系统级SBOM，如何选择。

应用级容器OS级

SBOM的元数据扩展

在SBOM中添加自定义属性，如内部组件编号、负责人、环境标签。

元数据自定义标签

SBOM的实时监控

建立SBOM的持续监控机制，当新漏洞发布时自动告警。

监控告警实时

漏洞修复的SLA管理

定义不同严重等级漏洞的修复时限，跟踪修复进度。

SLA时限跟踪

SBOM与容器安全

结合Docker Image SBOM，实现容器运行时的漏洞阻断。

Docker运行时阻断

SBOM与IaC安全

将SBOM理念扩展到Terraform、CloudFormation等基础设施代码。

IaCTerraformCloudFormation

SBOM的生态集成

与Jira、Slack、PagerDuty等工具联动，实现事件驱动修复。

JiraSlackPagerDuty

SBOM的灾难恢复

当SBOM数据丢失或损坏时，如何从源码或制品库重建SBOM。

恢复重建制品库

SBOM的度量与报表

生成团队/项目的漏洞修复趋势图、平均修复时间（MTTR）等指标。

度量MTTR报表

从SBOM到修复的完整闭环

总结全流程，构建一个可度量、可改进的持续安全运营体系。

闭环运营持续改进