VIP20

本课程属于：021-IoT密钥注入产线 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

SBOM生成与供应链安全管控

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

SBOM基础概念

什么是SBOM、SBOM的组成要素（组件、版本、依赖关系、许可证）、SBOM在软件供应链中的角色。

SBOM标准与格式

SPDX标准详解、CycloneDX标准详解、SWID标签介绍、三种格式的对比与选型。

SBOM生成工具（上）

使用Syft生成容器镜像和文件系统的SBOM、Syft的安装与常用命令、输出格式配置。

SBOM生成工具（下）

使用Trivy生成SBOM、Trivy与Syft的对比、使用cdxgen生成Java/JavaScript项目的SBOM。

SBOM的验证与签名

SBOM的完整性校验、使用cosign对SBOM进行签名、签名验证流程、防止SBOM被篡改。

SBOM的存储与管理

SBOM的存储策略（本地文件、对象存储、数据库）、使用Dependency-Track管理SBOM、SBOM的版本管理。

SBOM的消费与使用

如何解析SBOM文件（Python示例）、从SBOM中提取漏洞信息、SBOM与CVE的关联分析。

软件供应链安全威胁

典型攻击案例（SolarWinds、Log4j）、供应链攻击的常见类型（依赖混淆、恶意包注入、篡改）。

依赖分析基础

直接依赖与传递依赖的区别、依赖树的概念、如何识别依赖关系中的风险。

漏洞扫描与SBOM集成

将SBOM导入漏洞扫描器（Grype、Trivy）、自动化漏洞匹配流程、生成漏洞报告。

许可证合规性管理

开源许可证类型（GPL、MIT、Apache）、SBOM中的许可证字段、使用FOSSA或OSS Review Toolkit进行合规检查。

许可证合规

CI/CD流水线中的SBOM集成

在GitHub Actions中自动生成SBOM、在Jenkins Pipeline中集成SBOM生成、SBOM作为构建产物。

SBOM的差分与变更分析

SBOM版本对比、识别新增/移除/升级的组件、变更影响分析。

软件物料清单的粒度控制

如何控制SBOM的深度（仅直接依赖 vs 全量传递依赖）、按需裁剪SBOM内容。

私有仓库与内部组件的SBOM生成

为私有NPM/PyPI/Maven仓库生成SBOM、处理内部组件标识。

私有仓库内部组件

容器镜像的SBOM生成

深入分析容器镜像层、使用Syft和Trivy扫描镜像层、生成镜像层级的SBOM。

容器镜像层

SBOM与运行时安全

运行时SBOM的概念、使用Kubernetes Operator监控运行时依赖、运行时SBOM的实时更新。

供应链安全策略制定

制定组织的SBOM策略、最小依赖原则、依赖版本锁定策略。

SBOM的共享与交换

SBOM的传输协议（HTTPS、OCI）、使用DSS（Dead Simple Signing）进行SBOM分发、SBOM Hub的概念。

SBOM的自动化修复建议

基于SBOM的漏洞自动修复、生成PR更新依赖版本、使用Dependabot与Renovate集成。

自动修复Dependabot

SBOM与零信任架构

零信任原则在供应链中的应用、SBOM作为信任锚点、持续验证与授权。

零信任架构

多语言项目的SBOM生成

Monorepo场景下的SBOM生成、混合语言项目（Python+Java+Node.js）的SBOM合并。

多语言Monorepo

SBOM的合规审计

如何用SBOM满足SOC2/ISO27001要求、审计日志与SBOM关联、生成合规报告。

SBOM的元数据扩展

自定义SBOM字段、添加内部元数据（负责人、构建环境、CI流水线ID）、扩展SPDX/CycloneDX。

元数据扩展

供应链安全工具链搭建

从代码到部署的完整工具链（SAST+SCA+SBOM+签名）、工具链的集成与编排。

工具链集成

SBOM的联邦查询与聚合

跨项目/跨组织的SBOM聚合、使用GraphQL查询SBOM数据、构建SBOM知识图谱。

SBOM的机器学习应用

使用ML分析SBOM模式、预测依赖风险、异常依赖行为检测。

SBOM的标准化趋势与未来

CISA的SBOM推进、NTIA框架、SBOM的未来发展方向（AI生成SBOM、动态SBOM）。

实战案例：构建一个完整的SBOM生成与验证流水线

从源码到部署的全流程SBOM实践、端到端演示。

实战流水线

课程总结与最佳实践

SBOM实施路线图、常见陷阱与解决方案、持续改进供应链安全态势。

总结最佳实践