01
SBOM基础概念
SBOM定义与组成要素：组件、版本、依赖关系、许可证；SPDX与CycloneDX格式标准。
SPDXCycloneDX许可证
02
SBOM生成工具
Syft生成容器镜像SBOM，Trivy文件系统扫描，cdxgen应用级SBOM生成。
SyftTrivycdxgen
03
SBOM格式解析
SPDX JSON/Tag-value详解，CycloneDX JSON/XML，格式对比与选型建议。
SPDXCycloneDXJSON
04
漏洞数据库与评分
NVD与CVE基础，CVSS评分机制，EPSS利用预测评分系统介绍。
NVDCVSSEPSS
05
SBOM漏洞扫描原理
组件匹配算法、版本范围匹配、依赖图遍历、漏洞可达性分析。
匹配算法可达性依赖图
06
Trivy漏洞扫描实战
安装配置，扫描容器镜像、文件系统、Git仓库，输出JSON/SARIF/表格。
Trivy容器SARIF
07
Grype漏洞扫描实战
Grype安装与Syft集成，结果解读，自定义漏洞匹配策略。
GrypeSyft策略
08
OWASP Dependency-Check
Java/.NET项目扫描，HTML报告生成，Maven/Gradle集成。
OWASPJava.NET
09
Snyk漏洞扫描
Snyk CLI安装配置，Open Source与IaC扫描，CI/CD集成。
SnykIaCCI/CD
10
漏洞修复策略
直接依赖升级、传递依赖覆盖、补丁版本选择、语义化版本约束。
升级补丁语义化
11
依赖冲突与兼容性
Maven仲裁、npm依赖树、Go最小版本选择、Python依赖解析。
MavennpmGo
12
许可证合规扫描
GPL/Apache/MIT/BSD类型，兼容性矩阵，Scancode许可证扫描。
许可证Scancode合规
13
SBOM签名与验证
cosign签名与验证SBOM，集成到软件供应链。
cosign签名供应链
14
SBOM仓库管理
Dependency-Track管理SBOM，上传查询与漏洞态势仪表盘。
Dependency-Track仪表盘
15
CI/CD集成实践
GitHub Actions、GitLab CI、Jenkins Pipeline集成SBOM生成与扫描。
GitHub ActionsJenkins
16
容器镜像安全
镜像层漏洞分析、基础镜像选择、多阶段构建、Distroless镜像。
容器Distroless多阶段
17
Kubernetes安全扫描
K8s工作负载扫描、Pod安全策略、Kyverno/OPA准入控制器集成。
K8sKyvernoOPA
18
IaC安全扫描
Terraform (Checkov)、CloudFormation (cfn-lint)、K8s Manifest (Kube-bench)。
Checkovcfn-lintKube-bench
19
软件供应链攻击案例
SolarWinds、Log4j应急响应、Codecov事件教训。
SolarWindsLog4jCodecov
20
零信任软件供应链
SLSA框架、构建完整性、来源验证、可重复构建。
SLSA可重复构建来源验证
21
SBOM生命周期管理
生成、存储、消费、更新、废弃阶段管理。
生命周期存储消费
22
多语言项目扫描
Monorepo策略、混合语言依赖解析、跨语言漏洞关联。
Monorepo混合语言跨语言
23
私有仓库与代理
Nexus/Artifactory集成，私有PyPI/npm/Gem扫描，镜像仓库漏洞扫描。
NexusArtifactory私有仓库
24
漏洞误报处理
误报分类（编译/测试/死代码），标记抑制，自定义忽略策略。
误报抑制策略
25
修复优先级排序
CVSS评分、EPSS概率、业务影响、修复成本评估。
CVSSEPSS优先级
26
自动化修复工作流
Dependabot/Renovate配置，自动创建PR与合并策略。
DependabotRenovate自动PR
27
SBOM合规审计
FDA/NIST要求，EO 14028行政令，欧盟网络弹性法案，行业检查清单。
FDANIST合规
28
高级扫描技术
静态分析(CodeQL)、动态分析(Fuzzing)、运行时SBOM生成。
CodeQLFuzzing运行时
29
团队协作与流程
漏洞管理SOP、安全门禁、开发者培训、MTTR/MTTD度量。
SOP门禁MTTR
30
综合实战项目
从零构建SBOM安全体系，端到端扫描流水线，漏洞修复闭环与持续改进。
实战流水线闭环